Un contrat de conception de site internet qui ne respecte pas la loi informatique fichiers et libertés et la directive e-privacy (plus précisément les règles relatives aux cookies) peut être annulé pour erreur sur une qualité essentielle. Voici en résumé ce qu’a jugé la Cour d’appel de Douai le 7 mai 20261. Le point n’est pas entièrement nouveau mais il montre tout l’intérêt que l’on peut tirer des règles de droit commun du contrat.
Le 2 mars 2021, la société Auffray Paysages a souscrit, pour les besoins de son activité de paysagiste, un contrat d'abonnement et de location de solution internet auprès de la société Axecibles, prévoyant des mensualités de 444 euros TTC pendant 48 mois. Par acte du 28 juin 2021, la société Auffray a assigné la société Axecibles aux fins d'obtenir à titre principal l'anéantissement du contrat conclu, par l'effet de la rétractation. La société Auffray a en effet rapidement découvert que son site internet collectait illégalement au moyen de cookies des données personnelles. Après l’avoir fait constaté par huissier, elle assigne le prestataire sur différents fondements tirés du droit de la consommation et du droit des contrats. Reconventionnellement, la société Axecibles, estimant que la société Auffray avait résilié de façon fautive et anticipée le contrat, sans acquitter les mensualités dues, a demandé la condamnation de cette dernière à lui verser l'indemnité de résiliation contractuellement prévue, à hauteur de 23 443,20 euros.
Le 4 octobre 2022, le tribunal de commerce de Lille Métropole a débouté la société Auffray de l'ensemble de ses demandes en estimant que la résiliation était fautive et anticipée.
La Cour d’appel de Douai infirme totalement le jugement. Comme nous l’avons souligné, la cour juge qu’un contrat de conception de site internet qui ne respecte pas le Règlement général de la protection des données personnelles et la directive e-privacy (plus précisément les règles relatives aux cookies) peut être annulé pour erreur sur une qualité essentielle.
Le recours au droit commun s’explique par le fait que le demandeur n’est pas arrivé à montrer qu’il rentrait dans le cadre de l’article 221-3 du Code de la consommation2. Une disposition qui lui aurait permis de se prévaloir du droit de retrait propre au droit de la consommation pour se défaire du contrat. Le conseil de la société avait opportunément invoqué à titre subsidiaire les règles générales du contrat. L’on peut s’en étonner car les dispositions relatives aux cookies sont très nombreuses dans la loi informatique fichier et libertés et la directive e-privacy3.
À quoi bon solliciter le droit civil des contrats ? Tout simplement parce que ce droit peut renforcer d’une autre manière l’effectivité du RGPD comme cela avait déjà été jugé par la Cour d’appel de Grenoble en 20234 et par la Cour d’appel de Lyon tout récemment le 5 mars 20265. Et parce que de manière plus générale le droit commun des contrats vient souvent à la rescousse du RGPD.
Tout le monde se souvient certainement de cet arrêt du 25 juin 2013 ou la chambre commerciale de la Cour de cassation jugea, au visa inédit de l'article 1128 (ancien) du code civil et de l'article 22 de la loi du 6 janvier 1978, que :
« tout fichier informatisé contenant des données personnelles doit faire l'objet d'une déclaration auprès de la CNIL et que la vente par la société X... d'un tel fichier qui, n'ayant pas été déclaré, n'était pas dans le commerce, avait un objet illicite »6.
Par voie de conséquence, le contrat de cession d'un fichier de clientèle - qui comportait en l'espèce les données personnelles d'environ six mille clients - devait être tenu pour nul, de nullité absolue, dès lors qu'il n'avait pas été préalablement déclaré à la CNIL. La décision de la Cour d’appel de Douai s’inscrit donc dans ce courant jurisprudentiel.
Très concrètement elle vient nous rappeler que la conformité d’un site internet commandé n’est pas seulement technique mais également juridique. Et la solution vaut bien évidemment au-delà du contrat de conception de site et de la méconnaissance des règles relatives aux cookies. Restant à savoir tout de même si la nullité peut toujours être appliquée dans le silence du RGPD.
1 Cour d'appel de Douai, 7 mai 2026, RG n° 22/05075
2 « Les dispositions des sections 2, 3, 6 du présent chapitre applicables aux relations entre consommateurs et professionnels, sont étendues aux contrats conclus hors établissement entre deux professionnels dès lors que l'objet de ces contrats n'entre pas dans le champ de l'activité principale du professionnel sollicité et que le nombre de salariés employés par celui-ci est inférieur ou égal à cinq ». Nous étions entre professionnels et le contrat de conception du site litigieux n’entrait pas dans les compétences d’un paysagiste a priori. Toutefois celui-ci ne parvenait pas à prouver qu’il employait 5 salariés au moins.
3 Voir ainsi l’article 82 de la loi informatique fichier et libertés mais également l’article 28 du RGPD (sur la responsabilité du sous-traitant) et l’article 226-16, alinéa 1, du code pénal sur la collecte illicite des données.
4 CA Lyon 5 mars 2026 RG n° 24/02311
5 Cass. com. 25 juin 2013 n°12-17.037, D. 2013, p. 1867, n. G. Beaussonie, CCE 2013, p. 27, obs. G. Loiseau
