République Française

Au nom du Peuple Français

COUR D’APPEL DE DOUAI

CHAMBRE 2 SECTION 2

ARRÊT DU 07/05/2026

****

MINUTE ELECTRONIQUE

N° RG 22/05075 – N° Portalis DBVT-V-B7G-USGN

Jugement (N° 2021012443) rendu le 4 octobre 2022 par le tribunal de commerce de Lille Métropole

APPELANTE

SARL Auffray Paysage, agissant poursuites et diligences de ses représentants légaux, domiciliés en cette qualité au siège

ayant son siège social [Adresse 1]

[Adresse 2]

[Localité 1]

représentée par M^e Virginie Levasseur, avocat au barreau de Douai, avocat constitué, assistée de M^e Bassirou Kebe, avocat au barreau de Lille, avocat plaidant

INTIMÉE

SAS Axecibles, prise en la personne de son représentant légal domicilié en cette qualité au siège

ayant son siège social [Adresse 3]

[Localité 2]

représentée par M^e Guillaume Boureux, avocat au barreau de Lille, avocat constitué, assistée de M^e Michel Apelbaum, avocat au barreau de Paris, avocat plaidant

DÉBATS à l’audience publique du 02 décembre 2025 tenue par Anne Soreau magistrat chargé d’instruire le dossier qui, a entendu seule les plaidoiries, les conseils des parties ne s’y étant pas opposés et qui en a rendu compte à la cour dans son délibéré (article 805 du code de procédure civile).

Les parties ont été avisées à l’issue des débats que l’arrêt serait prononcé par sa mise à disposition au greffe

GREFFIER LORS DES DÉBATS : Marlène Tocco

COMPOSITION DE LA COUR LORS DU DÉLIBÉRÉ

Stéphanie Barbot, présidente de chambre

Nadia Cordier, conseiller

Anne Soreau, conseiller

ARRÊT CONTRADICTOIRE prononcé publiquement par mise à disposition au greffe le 7 mai 2026 (après prorogation du délibéré, initialement prévu le 12 mars 2026 ) et signé par Stéphanie Barbot, présidente et Marlène Tocco, greffier, auquel la minute a été remise par le magistrat signataire.

ORDONNANCE DE CLÔTURE DU : 8 juillet 2025

****

EXPOSE DES FAITS :

Le 2 mars 2021, la société Auffray Paysages (la société Auffray) a souscrit, pour les besoins de son activité de paysagiste, un contrat d’abonnement et de location de solution internet (le contrat d’abonnement) auprès de la société Axecibles, prévoyant des mensualités de 444 euros TTC pendant 48 mois.

Par acte du 28 juin 2021, la société Auffray a assigné la société Axecibles aux fins d’obtenir à titre principal l’anéantissement du contrat conclu, par l’effet de la rétractation.

Reconventionnellement, la société Axecibles, estimant que la société Auffray avait résilié de façon fautive et anticipée le contrat, sans acquitter les mensualités dues, a demandé la condamnation de cette dernière à lui verser l’indemnité de résiliation contractuellement prévue, à hauteur de 23 443,20 euros.

Par jugement du 4 octobre 2022, le tribunal de commerce de Lille Métropole a :

— débouté la société Auffray de l’ensemble de ses demandes ;

— constaté que la société Auffray avait failli à ses obligations contractuelles et résilié de façon fautive et anticipée le contrat ;

— condamné la société Auffray à payer à la société Axecibles une indemnité d’un montant de 23 443,20 euros et la somme de 2 000 euros par application des dispositions de l’article 700 du code de procédure civile.

Par déclaration du 31 octobre 2022, la société Auffray a relevé appel de l’entière décision.

PRETENTIONS DES PARTIES :

Dans ses dernières conclusions notifiées par la voie électronique le 13 juin 2025, la société Auffray demande à la cour de :

Vu les articles L.221-1 et suivants du code de la consommation ;

Vu l’article L.242-1 du code de la consommation ;

Vu les articles 1130 et suivants du code civil, 1194 et suivants du code civil ;

Vu les articles 1178, 1128, 1163, 1216, 1225, 1302, 1353 et 1359 du code civil ;

Vu le règlement général sur la protection des données personnelles (RGPD) ;

Vu les articles 226-26 et suivants du code pénal ;

— infirmer le jugement dans toutes ses dispositions et ce, dans la limite des chefs de jugement critiqué ;

Statuer de nouveau

— déclarer les dispositions du code de la consommation visées par l’article L. 221-3 applicables par la réunion des conditions légales ou à défaut par la soumission volontaire à ces dispositions ;

* à titre principal :

— déclarer le contrat litigieux anéanti par l’effet de la rétractation exercée par elle, la société Auffray ;

En conséquence,

— débouter la société Axecibles de toutes ses demandes ;

* premier niveau de subsidiarité :

Annuler le contrat litigieux notamment pour les motifs suivants :

— violation de l’obligation d’information sur le délai de livraison ;

— violation d’information sur le prix ;

— violation de l’obligation d’information sur les caractéristiques essentielles du site ;

— contenu indéterminé ;

— erreur sur les qualités essentielles du site internet ;

— dol, si le code de la consommation n’est pas applicable ;

— violation de l’obligation d’information sur l’exclusion du droit de rétractation pour les biens nettement personnalisés, si la cour estime que le contrat porte sur un bien nettement personnalisé.

En conséquence,

— débouter la société Axecibles de toutes ses demandes ;

* second niveau de subsidiarité :

— prononcer la résolution rétroactive du contrat litigieux et ce, avec effet rétroactif à la date de sa conclusion ;

— débouter la société Axecibles de l’ensemble de ses demandes ;

* en tout état de cause :

— débouter la société Axecibles de sa demande en paiement de l’indemnité de résiliation stipulée au contrat, faute de mise en 'uvre du formalisme contractuel prévu à cet effet ;

— condamner la société Axecibles à lui payer la somme de 6 000 euros au titre des frais irrépétibles exposés en première instance et en appel, ainsi qu’aux entiers frais et dépens, en ce compris le constat d’huissier.

Par ses dernières conclusions notifiées par la voie électronique le 11 juin 2025, la société Axecibles demande à la cour de :

Vu les dispositions du code de la consommation ;

Vu la Directive 2002/58/CE du parlement européen et du Conseil du 12 juillet 2002 « directive ePrivacy » transposée en droit national à l’article 82 de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée « Informatique et Liberté » ;

Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu l’article 9 du code civil introduit par la loi du 17 juillet 1970 ;

Vu le Règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des données des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;

— débouter la société Auffray de l’intégralité de ses demandes ;

— confirmer intégralement le jugement déféré ;

Y ajoutant en cause d’appel :

— condamner la société Auffray au paiement de la somme de 3 000 euros au titre de l’article 700 du code civil ainsi qu’aux entiers dépens.

MOTIVATION :

I ' Sur l’applicabilité du droit de la consommation

La société Auffray soutient que :

— en l’espèce, le code de la consommation s’applique du fait de la réunion des conditions prévues à l’article L. 221-3 du code de la consommation, le contrat ayant été conclu hors établissement, par un professionnel employant moins de 5 salariés, et l’objet du contrat n’entrant pas dans le champ de son activité principale ;

— concernant le nombre de salariés, à la date de signature du contrat, l’effectif de la société comportait un dirigeant non salarié et 5 salariés ; le juge du fond ne peut se contenter de dire que la partie qui revendique le bénéfice du code de la consommation ne prouve pas le fait négatif qu’il n’employait pas plus de cinq salariés ; si une personne affirme que son adversaire employait plus de cinq salariés, il appartient à l’auteur de cette affirmation de rapporter la preuve de ce que son adversaire employait plus de cinq salariés ;

— la Cour de cassation juge que les parties peuvent soumettre leur contrat aux dispositions du code de la consommation même si les conditions légales ne sont pas réunies, dès lors que leur volonté est dénuée d’équivoque; par ailleurs, plusieurs cours d’appel ont considéré qu’une agence web qui fait expressément référence dans son contrat aux notions et aux articles du code de la consommation, se soumet volontairement aux dispositions de ce code et ce, même si d’autres stipulations du contrat ont pour objet d’écarter l’application du code de la consommation.

La société Axecibles réplique que :

— la société Auffray a attesté sous sa signature, dans le contrat souscrit, employer 6 personnes ;

— par cette affirmation, la société Auffray a donné volontairement des indications plaçant le contrat hors du champ du code de la consommation, et peu importe désormais la réalité du nombre de salariés ;

— l’article 7 du contrat mentionne clairement que le droit de rétractation s’applique uniquement aux entreprises qui emploient moins de 5 salariés ; il ne s’agit donc pas d’une application générale et volontaire des dispositions du code de la consommation.

Réponse de la cour :

Il résulte de l’article L. 221-3 du code de la consommation, dans sa version applicable au présent litige, qu’un professionnel employant cinq salariés au plus, qui souscrit, hors établissement, un contrat dont l’objet n’entre pas dans le champ de son activité principale, bénéficie des dispositions protectrices du consommateur édictées par ce code aux sections 2 (obligation d’information précontractuelle), 3 (dispositions particulières applicables aux contrats conclus hors établissement) et 6 (droit de rétractation applicable aux contrats conclus à distance et hors établissement).

Aux termes de l’article L. 221-1 du même code, est considéré comme un contrat hors établissement tout contrat conclu entre un professionnel et un consommateur dans un lieu qui n’est pas celui où le professionnel exerce son activité en permanence ou de manière habituelle, en la présence physique simultanée des parties, y compris à la suite d’une sollicitation ou d’une offre faite par le consommateur.

En l’espèce, pour qu’il puisse être fait application du droit de la consommation à son profit, il appartient à la société Auffray, qui s’en prévaut, de démontrer que le nombre de salariés employés par sa société lors de la signature du contrat d’abonnement était inférieur ou égal à 5, ce qu’elle est en mesure de faire et qui ne lui impose pas d’apporter la preuve d’un fait négatif.

Le contrat d’abonnement produit aux débats, et signé de la société Auffray, mentionne le chiffre 6 comme étant l’effectif de l’entreprise.

Dès lors, cette seule déclaration de la société Auffray au moment de la conclusion du contrat a eu pour effet d’exclure l’application des dispositions du droit de la consommation.

Au demeurant, l’appelante, qui indique que ce chiffre comprendrait cinq salariés et le directeur, ne justifie pas en quoi ce dernier serait à exclure du nombre de salariés de sa société.

Enfin, et en tout état de cause, la société Auffray ne démontre pas qu’elle employait cinq salariés au plus lors de la signature du contrat litigieux.

En effet, pour démontrer le nombre de ses salariés, la société Auffray verse aux débats deux captures d’écran d’un « espace privé » du site de la MSA de Provence-Azur, concernant les DSN (déclaration sociale nominative) de mars et avril 2021, faisant mention de 5 salariés.

Toutefois, rien ne permet d’une part, de rattacher cette capture d’écran à la société Auffray, dont le nom n’apparaît pas sur ces documents. En outre, ces mentions ne reposent que sur les éléments fournis par le déclarant, et la société Auffray ne produit aucune autre pièce (attestation de la MSA, registre du personnel, attestation éventuelle de l’expert-comptable') pour accréditer cette affirmation.

Dans ces circonstances, la société Auffray ne justifie pas pouvoir bénéficier des dispositions du code de la consommation.

La société appelante estime cependant qu’en faisant référence, dans son contrat, aux notions et aux articles du code de la consommation, la société Axecibles a voulu soumettre ce contrat aux dispositions de ce code.

Cependant, il apparaît que le contrat signé par la société Auffray ne fait pas mention du code de la consommation, seules les conditions générales l’évoquant dans ses articles 7 (relatif à la prise d’effet du contrat et au droit de rétractation) ou 15 (relatif à la facturation et au paiement). Ces deux articles évoquent le droit de rétractation prévu à l’article L.121-18 du code de la consommation pour les contrats conclus hors établissement par des professionnels employant 5 salariés au plus.

En conséquence, il ne saurait être déduit de ces deux références à un même article du code de la consommation sur le droit de rétractation, et qui précise de surcroît que ce dernier ne concerne que des petites entreprises « de moins de 5 salariés », que la société Axecibles entendait soumettre l’entier contrat au droit de la consommation.

Par ailleurs, le fait, que la société Axecibles ait, à l’article 7.2 des conditions générales du contrat, fait bénéficier ses cocontractants d’un droit de rétractation de 15 jours à compter du procès-verbal de livraison, pouvant s’apparenter à celui prévu par le code de la consommation, n’implique pas que les parties aient entendu soumettre l’ensemble du contrat à ce code.

Il découle de ce qui précède que la société Auffray ne justifie pas que les dispositions du droit de la consommation se trouvent applicables au contrat d’abonnement litigieux.

II ' Sur la demande d’annulation du contrat d’abonnement pour dol

La société Auffray demande à la cour, si elle estimait que le code de la consommation ne s’appliquait pas, d’annuler le contrat pour dol (ses conclusions page 10 ' son dispositif).

La société Axecibles réplique que le dol invoqué n’est ni décrit ni établi, étant rappelé que celui-ci ne se présume pas.

Réponse de la cour :

Si la société Auffray précise en page 10 de ses conclusions, qu’en cas de non application du code de la consommation, il conviendra d’annuler le contrat pour dol, cette dernière ne développe toutefois aucune argumentation en vue de démontrer les éléments caractéristiques du dol.

Sa demande d’annulation du contrat pour dol sera rejetée.

III ' Sur la nullité du contrat pour erreur sur les qualités essentielles du site

La société Auffray fait valoir que :

— la nullité du contrat est encourue pour illicéité de son objet ;

— un client professionnel de la création ou de la location de site internet s’attend tacitement et légitimement à ce que son site internet ne collecte pas illégalement des données personnelles ;

— le fait pour une agence web de traiter ou collecter des données à caractère personnel à l’insu de son cocontractant, et de surcroît de manière illégale, est une cause de nullité du contrat pour erreur sur les qualités essentielles du site internet ;

— les agences web utilisent souvent des « cookies », qui sont des scripts intrusifs, sur les sites internet qu’elles créent ; l’installation de ces dispositifs attentatoires aux libertés, suppose de recueillir le consentement de l’internaute après lui avoir délivré un certain nombre d’informations ;

— le principe posé par l’article 82 de la loi n°78-17 du 6 janvier 1978 et par les articles 6 et 7 du Règlement (UE) 2016/679 du parlement et du conseil du 27 avril 2016 (RGPD) est l’interdiction des cookies sans le consentement préalable de l’internaute ;

— si des exceptions sont prévues notamment pour les cookies strictement nécessaires ou strictement destinés à la mesure d’audience, c’est au prestataire technique qui allègue que les cookies qu’il installe relèvent des exceptions prévues par la loi, de rapporter la preuve de ses allégations ; de même, la loi prévoit que la charge de la preuve pèse sur le professionnel en matière de collecte de données personnelles s’agissant d’un contrat portant sur un service numérique ;

— le professionnel de la création ou de la location de site internet qui allègue que le site internet litigieux était conforme au RGPD est tenu d’en apporter la preuve concrète ;

— à compter du 31 mars 2021, la Cnil impose de recueillir le consentement des internautes sans possibilité de considérer que la poursuite de la navigation vaut consentement à l’installation de cookies ; or, en l’espèce, le procès-verbal de livraison du site, daté du 6 avril 2021, est donc postérieur à la décision de la Cnil ;

— en l’espèce, les cookies « ga » installés n’étaient pas de simples cookies de mesure d’audience mais des cookies de pistage publicitaire ; le site collectait donc des données personnelles en son nom à elle, l’appelante, et sous sa responsabilité ; elle n’aurait pas contracté si elle l’avait su avant de s’engager ;

— le site collecte également illégalement des données personnelles à travers un formulaire de contact et par le biais d’un bouton de rappel gratuit ;

— le site internet, objet du contrat litigieux, collecte donc illégalement les données personnelles des internautes en totale violation du RGPD ; étant responsable du site internet, elle, l’appelante, aurait dû être avisée ; la société Axecibles a donc manqué à son obligation d’information ; elle, l’appelante, n’aurait jamais contracté, ou ne l’aurait pas fait sous les mêmes conditions, si elle avait su que le site collecterait à son nom et sous sa responsabilité, des données personnelles ;

— l’agence web a donc violé l’article 1112-1 du code civil pour lui avoir dissimulé, au moment de la conclusion du contrat, une information déterminante de son consentement.

La société Axecibles ne réplique pas sur ce moyen.

Elle ne développe ses arguments relatifs au non-respect allégué de la réglementation relative au traitement des données personnelles qu’en réponse à la demande très subsidiaire de la société Auffray en résolution du contrat pour violation de l’obligation de délivrance d’un produit complexe. Dans ce cas, elle rappelle le cadre réglementaire et législatif, faisant notamment valoir que :

— sont exemptés du recueil de consentement les cookies strictement nécessaires à la fourniture d’un service de communication en ligne, ainsi que les cookies de mesure d’audience ;

— les cookies de publicité ciblée et les cookies de réseaux sociaux nécessitent une information et un consentement préalable de l’internaute ; cependant, les précisions sur les modalités concrètes du recueil de consentement ont été données dans les recommandations et lignes directrices définitives de la CNIL, publiées le 17 septembre 2020, portent dans l’article 2 de cette délibération sur les modalités de recueil qui précisaient que « naviguer sur un site web, à utiliser une application mobile ou bien faire défiler la page d’un site web ou d’une application mobile ne constituent pas des actions positives claires et assimilables à un consentement valable » ; ces précisions n’avaient pas vocation à être d’applicabilité immédiate, une période de mise en conformité ayant été accordée par la Cnil jusqu’au 31 mars 2021 aux acteurs concernés pour qu’ils se mettent à jour des nouvelles exigences relatives à la réglementation des cookies ;

— le contrat litigieux a été conclu le 2 mars 2021 et a été exécuté jusqu’au 25 mai 2021 ;

— au moment de la livraison du site et de l’exécution du contrat, la société Auffray ne démontre pas que le bandeau de cookies n’était pas conforme à la règlementation de protection des données ;

— s’agissant du traitement des données des internautes, c’est la société Auffray qui, selon les articles 4, 7 et 28 RGPD, était responsable en cas de données personnelles illégalement collectées ; elle, la société Axecibles, ne supportait aucune obligation concernant la gestion des données personnelles, dont seule est responsable la société Auffray qui ne lui a donné aucune directive précise et claire sur le traitement/collecte des données personnelles, par exemple dans le cahier des charges ;

— l’article 28 du RGPD impose la signature d’un DPA (accord de traitement des données) entre le responsable de traitement et son sous-traitant ; aucun DPA n’a été signé en l’espèce, si bien qu’elle, l’intimée, ne peut être qualifiée de sous-traitant ;

— selon la jurisprudence, un devoir de conseil est imposé au prestataire de services ; cependant, la société Auffray devait lui fournir l’ensemble des informations nécessaires pour qu’elle puisse effectuer une prestation conforme aux directives de son client ; or la société Auffray ne lui a donné aucunes directives précises et claires sur le traitement/la collecte de données personnelles ;

— l’argumentation tenant au degré de gravité des sanctions administratives encourues est dénuée de pertinence au regard de la situation de la société Auffray, qui n’a rien de comparable avec celles infligées à d’autres sociétés d’envergure internationale ;

— les articles 226-16, 226-17 et 226-18 du code pénal n’ont aucunement vocation à s’appliquer à la présente affaire ; la société Auffray n’a jamais couru le risque d’une sanction pénale ou sur le fondement du droit au respect de la vie privée.

Réponse de la cour :

Aux termes de l’article 1112-1 du code civil :

Celle des parties qui connaît une information dont l’importance est déterminante pour le consentement de l’autre doit l’en informer dès lors que, légitimement, cette dernière ignore cette information ou fait confiance à son cocontractant.

Néanmoins, ce devoir d’information ne porte pas sur l’estimation de la valeur de la prestation.

Ont une importance déterminante les informations qui ont un lien direct et nécessaire avec le contenu du contrat ou la qualité des parties.

Il incombe à celui qui prétend qu’une information lui était due de prouver que l’autre partie la lui devait, à charge pour cette autre partie de prouver qu’elle l’a fournie.

Les parties ne peuvent ni limiter, ni exclure ce devoir.

Outre la responsabilité de celui qui en était tenu, le manquement à ce devoir d’information peut entraîner l’annulation du contrat dans les conditions prévues aux articles 1130 et suivants ».

L’article 1130 du même code dispose que :

L’erreur, le dol et la violence vicient le consentement lorsqu’ils sont de telle nature que, sans eux, l’une des parties n’aurait pas contracté ou aurait contracté à des conditions substantiellement différentes.

Leur caractère déterminant s’apprécie eu égard aux personnes et aux circonstances dans lesquelles le consentement a été donné.

L’article 1132 du même code ajoute que :

L’erreur de droit ou de fait, à moins qu’elle ne soit inexcusable, est une cause de nullité du contrat lorsqu’elle porte sur les qualités essentielles de la prestation due ou sur celles du cocontractant.

L’article 1133 du même code précise que :

Les qualités essentielles de la prestation sont celles qui ont été expressément ou tacitement convenues et en considération desquelles les parties ont contracté.

En l’espèce, la société Auffray fait valoir que le client d’un professionnel dans la création ou la location de site internet s’attend légitimement à ce que le site internet ne collecte pas illégalement des données personnelles.

Sont en cause, notamment, la collecte illégale de données personnelles des visiteurs du site par l’installation sur le site créé de cookies publicitaires d’une part, ainsi que par un formulaire de contact et un bouton de rappel gratuit, d’autre part.

Sur ces points, l’article 82 de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (la loi CNIL), qui a transposé en droit français la directive 2002/58/CE du 12 juillet 2002 « vie privée et communications » ou « e-privacy », dans sa version en vigueur depuis le 1er juin 2019, dispose que :

Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :

1° de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;

2° des moyens dont il dispose pour s’y opposer.

Cette accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.

Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :

1° soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;

2° soit est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.

Le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation des données à caractère personnel et à la libre circulation de ces données (RGPD), a notamment précisé :

— dans son article 4.7 : que le responsable du traitement est la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres détermine les finalités et les moyens du traitement ;[']

— dans son article 4.8 : que le « sous-traitant » est la personne physique ou morale, l’autorité publique, le service ou autre organisme qui traite des données à caractère personnel pour le compte du responsable de traitement ;

— dans son article 6 : que le traitement n’est licite que si la personne concernée a consenti au traitement de ses données à caractère personnel ;

— dans son article 7.1 (conditions applicables au consentement) : dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de/ démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel le concernant ;

— dans son article 7.3 : La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement ;

— dans son article 13 l’ensemble des informations à fournir par le responsable du traitement à la personne concernée lorsque ses données à caractère personnel sont collectées (identité du responsable du traitement, finalité du traitement et base juridique, durée de conservation des données, existence du droit de demander l’accès aux données, la rectification ou l’effacement de celles-ci, droit d’introduire une réclamation auprès d’une autorité de contrôle') ;

— dans son article 28, qui encadre la relation entre le responsable du traitement des données personnelles et le sous-traitant :

> que lorsqu’un traitement doit être effectué pour le compte du responsable de traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en 'uvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du règlement et garantisse la protection des droits de la personne ;

> que le traitement est régi par un contrat entre le traitant et le sous-traitant qui définit l’objet, la durée, la nature et la finalité du traitement, et ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement.

Par une délibération (n°2020-091) du 17 septembre 2020, la Commission nationale de l’informatique et des libertés (la Cnil), autorité administrative indépendante créée par la loi de 1978 susvisée pour veiller à la protection des données personnelles, a adopté des lignes directrices relatives à l’application de l’article 82 susvisé, accompagnées de recommandations afin d’accompagner les professionnels concernés (délibération n° 2020-092).

La Cnil a donné aux responsables jusqu’au 31 mars 2021 pour mettre les sites concernés en conformité.

Par ailleurs, la Cnil a défini le « cookie » informatique comme « un petit fichier informatique, un traceur, déposé et lu par exemple lors de la consultation d’un site internet, de la lecture d’un courrier électronique, de l’installation ou de l’utilisation d’un logiciel ou d’une application mobile et ce, quel que soit le type de terminal autorisé. »

Dans l’article 2 de sa délibération n° 2020-092, elle a considéré que « continuer à naviguer sur un site web, à utiliser une application mobile ou bien faire défiler la page d’un site web ou d’une application mobile ne constituent pas des actions positives claires et assimilables à un consentement valable. »

Dans une délibération du 18 novembre 2020 (n°SAN-2020-008 du 18 novembre 2020) prononçant une amende administrative de 2 250 000 euros à l’encontre de la société [Adresse 4], la Cnil a indiqué, concernant trois cookies appartenant à la solution Google Analytics (cookies -gid, -ga et gat-gtag) qu’ « il ne fait pas débat que les données collectées par ces cookies peuvent être recoupées avec des données issues d’autres traitements pour poursuivre des finalités autres que celles limitativement prévues par l’article 82 de la loi informatique et libertés, notamment pour mener à bien se la publicité personnalisée. »

Par ailleurs, la mission de sanction de la Cnil et la lourdeur de certaines amendes infligées démontrent que les exigences en matière de consentement ne sont pas de simples recommandations.

De même, en matière pénale, l’article 226-16, alinéa 1, du code pénal, dans sa rédaction applicable au litige, prévoit que « le fait, y compris par négligence de procéder ou faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en 'uvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. »

L’article 226-18 du même code prévoit également que « le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et 300 000 euros d’amende. »

En l’espèce, la société Auffray a réceptionné son site internet le 6 avril 2021. Par la suite, il résulte des pièces versées aux débats, et notamment les échanges de courriels entre les parties, que le site a encore été modifié et « finalisé » par la société Axecibles avant que ne soit lancée la « campagne Ads », programme de publicité en ligne de Google, le 27 avril 2021.

Moins d’un mois après, la société Auffray a sollicité un huissier de justice qui, selon constat du 21 mai 2021, a mis en évidence :

* Concernant les cookies que :

— s’il existe un bandeau en bas de page informant l’utilisateur de la présence de « cookies », ce dernier ne peut qu’ « accepter » ou « en savoir plus », le pavé « accepter » étant mis en évidence par rapport au second ; aucune mention n’apparaît à ce premier niveau de la possibilité de refuser les cookies ;

— alors qu’il n’a validé aucune de ces options et a continué à naviguer sur le site, quatre cookies se sont installés automatiquement sans son consentement en tant qu’internaute ; parmi ces cookies apparaît un cookie « -ga » ;

— étant revenu sur le bandeau en bas de page et après avoir accepté la présence de cookies, il n’a plus trouvé aucune possibilité de revenir sur le consentement donné concernant l’utilisation de cookies, sauf en cliquant sur le lien « mentions légales », situé sous le bandeau, inscrit en petits caractères en bas à droite, ce qui fait apparaître des informations relatives au paramétrage possible des cookies ;

* Concernant les autres collectes de données que :

— en cliquant sur le bouton « je souhaite être rappelé(e) », une fenêtre s’est ouverte par-dessus la page d’accueil et un formulaire invitant l’internaute à renseigner son nom et son téléphone s’est affiché ; « il n’y a qu’un bouton à valider, sans aucune mention relative à la collecte et au traitement de ces données personnelles » ;

— en cliquant sur la mention « contact » située dans le bandeau supérieur à droite, est apparue une page sur laquelle se trouvait un formulaire susceptible de recueillir des données personnelles, aucune information concernant la collecte et le traitement des données personnelles n’apparaissant.

Il ressort de ces constatations que, contrairement à ce que prévoit la réglementation instaurée par la loi « informatique et libertés » et par le RGPD, l’huissier de justice ne s’est pas trouvé en capacité de refuser la présence de cookies, lesquels se sont installés automatiquement sur l’ordinateur, par une simple navigation, l’un d’entre eux au moins étant un cookie à visée publicitaire dont la présence nécessitait impérativement au consentement de l’internaute.

L’huissier de justice n’a pas non plus été en mesure, après avoir accepté la présence de cookies, de retirer son consentement, comme prévu à l’article 7.3 du RGPD, c’est-à-dire aussi facilement que pour donner son consentement, l’information sur le refus des cookies n’étant donnée que dans la rubrique « mentions légales » et imposant à l’utilisateur de paramétrer ces derniers.

Enfin, aucune information sur la collecte et le traitement des données personnelles, telle que prévue à l’article 13 du RGPD, n’est donnée aux internautes lors de la collecte de leurs données par les formulaires de contact ou boutons de rappel.

La cour d’appel estime que ces constatations sont probantes, dès lors qu’elles sont été effectuées par un huissier de justice, officier public et ministériel, qui a opéré des captures d’écran et pris soin de procéder au préalable à une purge complète de l’ordinateur en effaçant toutes les données de navigation pour obtenir un historique vierge.

Par ailleurs, la société Axecibles n’a pas contesté qu’elle seule détenait les codes de sécurité permettant d’accéder au site, de le désactiver ou de modifier le code source. Elle n’a avancé aucun élément, notamment pas des captures d’écran, pour contrecarrer les constats de l’huissier de justice et justifier que son site était en conformité avec la réglementation en vigueur lors de sa livraison.

Contrairement à ce qu’elle prétend, un contrat a bien été passé avec la société Auffray, qui ne conteste pas être responsable du traitement des données des visiteurs de son site, au sens de l’article 4.7 du RGPD susvisé, et qui avait pris le soin de s’adresser à une société spécialisée dans la création de sites web – à savoir la société Axecibles. Il n’était pas prévu, dans le contrat liant les parties, la mise en place de cookies publicitaires ou un traitement de données personnelles autre que régulier.

La société Axecibles considère que la Cnil avait donné jusqu’au 31 mars 2021 pour se mettre en conformité concernant l’installation de cookies, sans requérir le consentement de l’internaute, par la simple navigation sur le site.

Toutefois, le site ayant été livré le 6 avril 2021, puis encore modifié par ses soins, la société Axecibles se devait d’être en conformité avec les nouvelles instructions de la Cnil lors de la livraison du site à la société Auffray.

Par ailleurs, ce délai, qui retardait la prise de sanctions par la Cnil, n’impliquait pas, pour les professionnels concernés, la possibilité de poursuivre des pratiques illégales lors de la création et la modification de sites web.

Il ressort de ces éléments que la société Axecibles a livré un site à la société Auffray, porteur d’au moins un cookie publicitaire « google analytics » s’installant sans autorisation des internautes, et prévoyant une collecte non protégée de données de ces derniers.

En sollicitant un professionnel pour la conception d’un site web, la société Auffray s’attendait légitimement à ce que ce site soit conforme à la législation sur le traitement des données personnelles, compte tenu de la responsabilité qui est la sienne de protéger les utilisateurs de son site, et des risques financiers importants existant en cas de manquement à cette législation.

La société Axecibles n’a jamais prétendu qu’il ne s’agissait pas là d’une exigence légitime. Spécialisée dans la création de sites internet, elle connaissait, ou était à tout le moins censée connaître, les enjeux pour son client et pour les internautes utilisateurs du site par elle créé. Elle se prévaut, d’ailleurs, dans ses contrats de création de sites conformes à la loi et évoque elle-même, dans les mentions légales du site web, dont elle reste propriétaire, la loi « Informatique et Liberté ».

La conformité du site à cette loi était donc une qualité essentielle tacitement convenue entre les parties lors de la conclusion du contrat.

Par ailleurs, la société Axecibles se devait, en application de l’article1112-1 du code civil précité, d’informer sa cocontractante de l’installation de cookies publicitaires sur le site internet livré, information déterminante pour la société Auffray.

En faisant appel à un professionnel pour la création de son site internet, la société Auffray n’aurait, à l’évidence, pas contracté ou aurait contracté à des conditions substantiellement différentes si elle avait appris que le site n’était pas conforme à la loi « informatique et liberté » et à la réglementation relative à la collecte de données personnelles des internautes.

Elle démontre d’ailleurs l’importance donnée à ces éléments par le constat qu’elle a fait réaliser par huissier de justice le 21 mai 2021, soit moins d’un mois après la mise en ligne du site et l’assignation en justice pour l’anéantissement de ce contrat dès le 28 juin 2021.

Dans ce contexte, la cour estime que le contrat conclu le 2 mars 2021 est nul pour erreur sur une qualité essentielle du site internet objet du contrat liant les parties, sans qu’il soit besoin de se pencher sur les autres moyens d’annulation de ce contrat soulevés par l’appelante.

La décision déférée sera donc infirmée, d’une part, en ce qu’elle a considéré que la société Auffray avait failli à ses obligations contractuelles et résilié de manière fautive et anticipée le contrat, d’autre part, en ce qu’elle a condamné cette société à payer à la société Axecibles la somme de 23 443,20 euros.

Par ailleurs, la demande de la société Axecibles tendant à la condamnation de la société Auffray à lui régler cette somme de 23 443,20 euros sera rejetée.

IV ' Sur les demandes accessoires

La société Axecibles, qui succombe, assumera les entiers dépens de première instance et d’appel, à l’exclusion des frais afférents au constat d’huissier de justice du 21 mai 2021, qui ne font pas partie de la liste, limitative, des dépens énumérés à l’article 695 du code de procédure civile.

Sa demande d’indemnité procédurale sera rejetée et elle sera condamnée à verser une indemnité à la société Auffray au titre de ses frais irrépétibles.

La décision déférée sera infirmée des chefs des dépens et de l’article 700 du code de procédure civile.

PAR CES MOTIFS

— Infirme la décision déférée en toutes ses dispositions,

Statuant à nouveau des chefs infirmés et y ajoutant :

— DIT que le code de la consommation ne s’applique pas au contrat conclu entre la société Auffray Paysage et la société Axecibles le 2 mars 2021 ;

— REJETTE la demande de la société Auffray Paysage en nullité du contrat pour dol ;

— ANNULE le contrat conclu entre la société Auffray Paysage et la société Axecibles le 2 mars 2021 ;

— REJETTE la demande de la société Axecibles tendant à la condamnation de la société Auffray Paysage à lui verser la somme de 23 443,20 euros ;

— CONDAMNE la société Axecibles aux entiers dépens de première instance et d’appel, à l’exclusion des frais afférents au constat d’huissier de justice du 21 mai 2021 ;

— Vu l’article 700 du code de procédure civile, REJETTE la demande de la société Axecibles et la CONDAMNE à verser à la société Auffray Paysage la somme de 4 000 euros.

Le greffier

La présidente

EN CONSEQUENCE

LA REPUBLIQUE FRANCAISE mande et ordonne à tous les commissaires de justice, sur ce requis, de mettre ledit arrêt à exécution, aux procureurs généraux et aux procureurs de la République près les tribunaux judiciaires d’y tenir la main, à tous les commandants et officiers de la [Localité 3] Publique de prêter main-forte lorsqu’ils en seront légalement requis. En foi de quoi le présent arrêt a été signé par le Président et le Greffier.