Site internet non conforme : la protection des données peut justifier l’annulation du contrat

L’entreprise cliente s’était engagée pour quarante-huit mois à 444 euros par mois. Après la livraison, elle a fait constater que le site déposait des cookies publicitaires sans consentement et collectait des données par des formulaires dépourvus de toute information. Condamnée en première instance à payer l’indemnité de résiliation, elle obtient en appel l’annulation du contrat pour erreur sur une qualité essentielle du site.

01 Ce que le constat a révélé du site livré

Le site a été réceptionné le 6 avril 2021, puis modifié et « finalisé » par le prestataire avant le lancement d’une campagne publicitaire en ligne le 27 avril. Moins d’un mois plus tard, le 21 mai 2021, un commissaire de justice — huissier de justice à l’époque des faits — établissait un constat à la demande de l’entreprise.

Trois défauts en ressortent, et chacun correspond à une exigence distincte.

Le bandeau de cookies, placé en bas de page, ne proposait que deux choix : « accepter » ou « en savoir plus », le premier étant mis en évidence. Aucune mention d’un refus possible n’apparaissait à ce niveau. Sans avoir validé quoi que ce soit, le constatant a vu quatre cookies s’installer par la seule navigation, dont un traceur de la famille Google Analytics que la cour qualifie de cookie à visée publicitaire.

Une fois le consentement donné, aucun moyen de revenir dessus n’était accessible, sinon par un lien « mentions légales » en petits caractères sous le bandeau, renvoyant vers un paramétrage à effectuer soi-même. Le retrait n’était donc pas aussi simple que l’accord, ce qu’exige l’article 7.3 du RGPD.

Enfin, le bouton « je souhaite être rappelé » ouvrait un formulaire demandant nom et téléphone, et la page « contact » un second formulaire : ni l’un ni l’autre ne portait la moindre information sur la collecte et l’usage des données, que l’article 13 du RGPD impose de délivrer au moment où elles sont recueillies.

La cour tient ces constatations pour probantes, en relevant que le constatant avait effacé au préalable l’ensemble de ses données de navigation pour travailler sur un historique vierge. Le prestataire, lui, n’a produit aucune capture ni aucun élément technique pour les contredire.

02 Le droit de la consommation a été écarté, pour un motif qui mérite attention

L’entreprise invoquait d’abord la protection que le code de la consommation étend aux très petites entreprises contractant hors établissement, lorsque l’objet du contrat sort de leur activité principale. Le seuil est de cinq salariés au plus.

La cour écarte ce fondement pour une raison tenant entièrement à un document signé quatre ans plus tôt : le contrat d’abonnement mentionnait le chiffre 6 comme effectif de l’entreprise. Cette seule déclaration, faite au moment de la conclusion, a suffi à exclure l’application du régime protecteur. Les captures d’écran de déclarations sociales produites ensuite n’ont pas été retenues, faute de rattacher ces documents à l’entreprise et de les corroborer par un registre du personnel ou une attestation.

La leçon dépasse ce dossier. Une case remplie machinalement à la signature peut fermer une voie de recours entière des années plus tard, et c’est à celui qui revendique le bénéfice du code de la consommation d’établir qu’il en remplit les conditions.

La cour refuse également de voir dans le contrat une soumission volontaire au droit de la consommation : les conditions générales n’évoquaient ce code que pour le droit de rétractation, et une référence ponctuelle ne vaut pas adhésion d’ensemble.

03 La conformité du site, qualité essentielle tacitement convenue

C’est le véritable apport de l’arrêt. L’erreur sur les qualités essentielles de la prestation est une cause de nullité du contrat, à moins qu’elle ne soit inexcusable ; et ces qualités sont celles qui ont été expressément ou tacitement convenues, en considération desquelles les parties ont contracté (article 1132 et article 1133 du code civil).

La cour juge que l’entreprise, en s’adressant à un professionnel pour faire concevoir son site, s’attendait légitimement à recevoir un site conforme à la législation sur les données personnelles. Elle s’appuie sur trois éléments : la responsabilité qui pèse sur le client à l’égard des utilisateurs de son site, les risques financiers attachés à un manquement, et la position du prestataire lui-même, dont c’est le métier, qui se prévaut dans ses contrats de créer des sites conformes à la loi et invoque la loi « informatique et libertés » dans les mentions légales du site, dont il reste propriétaire.

Aucun cahier des charges ne détaillait ces exigences. L’arrêt montre qu’un tel document n’est pas nécessaire pour caractériser l’attente : elle se déduit de la nature de la prestation et de la qualité de celui qui la fournit.

S’y ajoute le devoir précontractuel d’information. Celui qui connaît une information déterminante pour le consentement de l’autre doit la lui transmettre, et les parties ne peuvent ni limiter ni exclure ce devoir (article 1112-1 du code civil). La cour en déduit que le prestataire devait signaler l’installation de cookies publicitaires sur le site livré.

Reste la condition qui décide de tout : le caractère déterminant. La cour retient que l’entreprise n’aurait pas contracté, ou l’aurait fait à des conditions substantiellement différentes, si elle avait su. Elle le déduit du comportement même de la cliente — un constat demandé moins d’un mois après la mise en ligne, une assignation le 28 juin 2021.

04 Le délai accordé par la CNIL n’excusait pas le site livré après lui

Le prestataire opposait le calendrier : la CNIL avait laissé aux acteurs jusqu’au 31 mars 2021 pour se conformer à ses lignes directrices et recommandations de septembre 2020 sur les traceurs.

L’argument se retourne. Le site ayant été livré le 6 avril 2021, puis encore modifié après cette date, il devait respecter les nouvelles exigences au moment de sa livraison. La cour ajoute une précision qui vaut au-delà de cette affaire : un délai qui retarde la prise de sanctions par l’autorité n’autorise pas, pendant ce temps, à poursuivre des pratiques illégales dans la création et la modification de sites.

La distinction entre tolérance d’un régulateur et licéité d’une pratique est rarement faite dans les discussions contractuelles. Elle est ici tranchée.

05 Être responsable de traitement n’interdit pas d’agir contre son prestataire

La défense reposait pour l’essentiel sur un renversement : c’est le client qui est responsable du traitement des données de ses visiteurs ; c’est donc à lui d’assumer une collecte illicite, d’autant qu’il n’avait donné aucune directive précise sur le sujet, et qu’aucun acte de sous-traitance n’avait été signé.

La cour ne suit pas ce raisonnement. Elle relève que le prestataire détenait seul les codes permettant d’accéder au site, de le désactiver ou d’en modifier le code source, et que rien dans le contrat ne prévoyait l’installation de cookies publicitaires ni un traitement de données autre que régulier.

La qualité de responsable du traitement, que la cliente ne contestait pas, règle sa position à l’égard des personnes dont les données sont collectées. Elle ne règle pas ses rapports avec le professionnel qui a conçu l’outil. Les deux plans se superposent sans se confondre : une entreprise peut devoir répondre devant ses visiteurs et, dans le même temps, disposer d’un recours contre son prestataire.

Quant à l’absence d’acte de sous-traitance, elle ne vaut pas démonstration qu’il n’y avait pas de sous-traitance. La qualification dépend des opérations réellement effectuées, non de la signature d’un document.

06 Trois voies, trois démonstrations différentes

Une entreprise qui découvre que son site ne respecte pas la réglementation dispose de plusieurs chemins, qui ne se valent pas et ne se cumulent pas librement.

Obtenir la correction. Une demande écrite précise, appuyée sur les éléments techniques, puis une mise en demeure si elle reste sans effet. C’est la voie la plus rapide, et souvent la seule utile lorsque le site doit continuer de fonctionner.

Agir pour mauvaise exécution. Suspension de sa propre obligation, exécution forcée, réduction du prix, résolution, réparation : la palette est ouverte à la partie envers laquelle l’engagement n’a pas été exécuté ou l’a été imparfaitement (article 1217 du code civil). La démonstration porte sur ce qui était promis et sur ce qui a été livré.

Demander l’annulation pour erreur. La voie suivie à Douai. La démonstration est d’une autre nature : elle porte sur ce que le client attendait légitimement et sur ce qui a déterminé son engagement.

Une précaution, enfin, sur les paiements. Cesser de régler les mensualités au motif que le site est irrégulier n’est pas sans risque : refuser d’exécuter son obligation suppose que l’inexécution de l’autre partie soit suffisamment grave (article 1219 du code civil). Dans cette affaire, l’arrêt rendu en 2026 est venu après une condamnation en première instance en 2022.

La correction fait disparaître la preuve. Elle doit donc être précédée de la conservation des éléments utiles — sans retarder pour autant les mesures qui protègent les personnes dont les données sont collectées.

07 Pour le prestataire, le risque change de nature

Lu depuis l’autre côté du contrat, l’arrêt déplace le risque. Le professionnel du site internet savait qu’une non-conformité pouvait lui valoir une demande de correction ou une réduction de prix. Il apprend qu’elle peut faire tomber le contrat entier, et avec lui l’indemnité de résiliation sur laquelle repose l’économie d’un abonnement de quarante-huit mois.

Trois éléments ont joué contre lui, et chacun se prévient. La communication commerciale d’abord : se prévaloir de sites conformes à la loi crée l’attente que la cour retiendra ensuite comme tacitement convenue. La maîtrise technique exclusive ensuite : détenir seul les accès rend difficile de renvoyer le client à ses propres choix. L’absence de preuve enfin : face à un constat, l’affirmation que le site était conforme ne pèse rien.

Un cahier des charges nommant les exigences, une information écrite sur les traceurs installés et leur finalité, un acte de sous-traitance lorsque les opérations le justifient, et la trace des arbitrages demandés au client : ces quatre pièces auraient transformé le débat.