Fichier client non déclaré : relire l’arrêt de 2013

Un fichier client non déclaré à la CNIL pouvait-il être vendu ? En 2013, la Cour de cassation a répondu négativement dans une affaire relevant de l’ancien régime déclaratif. Appliquer cette formule sans sa date induirait aujourd’hui les vendeurs et acquéreurs en erreur.

L’arrêt du 25 juin 2013 dans son contexte

Dans l’affaire Bout-Chard, l’acquéreur demandait la nullité de la vente d’un fichier informatisé de clientèle qui aurait dû être déclaré à la CNIL. La cour d’appel avait refusé cette nullité. La chambre commerciale a cassé l’arrêt : l’absence de déclaration rendait l’objet de la vente illicite, sur le fondement de l’ancien Art. 1128 du Code civil, combiné à l’Art. 22 de la loi Informatique et Libertés alors applicable. L’affaire a été renvoyée devant la cour d’appel autrement composée. Cass. com., 25 juin 2013, n° 12-17.037.

Cette décision ne signifiait pas que toute clientèle était dépourvue de valeur économique. Elle concernait la licéité de la cession du fichier litigieux. Elle ne permet pas davantage de prêter une intention frauduleuse à l’acquéreur.

Ce qui a changé depuis le 25 mai 2018

Le RGPD a supprimé les déclarations générales de fichiers auprès de la CNIL. Certaines formalités spécifiques subsistent, notamment pour certains traitements de santé. L’absence d’un ancien numéro de déclaration n’est donc pas, à elle seule, une anomalie pour un fichier commercial constitué sous le régime actuel. Présentation de la réforme par la CNIL.

La conformité doit être démontrée dans la durée : finalités, base légale, minimisation et conservation relèvent notamment de l’Art. 5(1) et (2) du RGPD. Un récépissé ancien ne prouve pas que les usages d’aujourd’hui sont licites. Principes du RGPD.

Examiner ce que l’acquéreur pourra réellement faire

Avant de valoriser un portefeuille, associez chaque usage commercial projeté aux éléments qui l’autorisent. Notre guide du rachat d’entreprise et fichier marketing détaille la préparation de ce transfert.

Cette grille est une proposition de diligence contractuelle. Elle évite de réduire le dossier à une garantie générale « conforme au RGPD » ; la vérification des preuves d’un fournisseur de leads illustre cette approche.

La CNIL rappelle que la vente d’un fichier n’est pas interdite en soi. Le vendeur doit sélectionner les données transmissibles ; les archives conservées uniquement pour la comptabilité ou les contentieux ne constituent pas un vivier de prospection. L’acquéreur doit informer les personnes et disposer des autorisations nécessaires à ses propres sollicitations. Règles CNIL sur la vente de fichiers clients.

Le canal reste déterminant : une cession commerciale ne crée pas une dérogation aux règles de prospection commerciale. Faites valider séparément la transmission et l’usage prévu après reprise.

Distinguer l’objet vendu des usages futurs

Commencez par décrire l’opération envisagée. La cession isolée d’un fichier, la reprise d’une activité et l’acquisition de titres ne présentent pas nécessairement les mêmes changements d’acteurs ou de traitements. Le nom donné à l’opération dans une présentation commerciale ne suffit pas : il faut identifier qui détenait les données, qui les recevra et qui décidera de leurs usages.

Décrivez ensuite l’objectif de l’acquéreur. Souhaite-t-il poursuivre des contrats, répondre à des demandes en cours ou lancer sa propre campagne ? Ces usages ne se déduisent pas les uns des autres. Une donnée utile à la continuité d’un service n’est pas automatiquement nécessaire à une campagne publicitaire. L’Art. 5(1)(b) et (c) impose d’examiner les finalités et la minimisation pour les opérations concernées.

Cette description sert aussi à cadrer le travail contractuel. Les parties doivent savoir ce que contient le fichier promis, quelles exclusions seront appliquées et quelles pièces accompagneront la remise. Une garantie générale ne remplace pas cet inventaire. Elle ne transforme pas non plus un usage interdit en usage licite à l’égard des personnes.

Vérifier la provenance sans recevoir prématurément toute la base

Pour préparer l’examen, demandez d’abord les catégories de données, les origines de collecte, les périodes et les règles de gestion. Des descriptions et des documents de parcours peuvent répondre à une première série de questions sans remettre toutes les coordonnées personnelles. Lorsque des données individuelles sont nécessaires à la diligence, définissez pourquoi, qui pourra les consulter et pendant combien de temps.

Le dossier de provenance doit permettre de distinguer les populations entrées par des voies différentes. Des clients directs, des participants à une opération promotionnelle et des contacts achetés n’ont pas nécessairement reçu la même information. Une mention figurant aujourd’hui sur le site du vendeur ne prouve pas qu’elle était présentée lors d’une collecte ancienne.

Pour un usage fondé sur le consentement, rapprochez la preuve du texte et de la finalité auxquels la personne a effectivement consenti. L’Art. 7(1) exige que le responsable puisse démontrer ce consentement. Un champ « oui » dépourvu de contexte ne répond pas, à lui seul, à toutes les questions sur son caractère spécifique et éclairé.

La consultation préalable doit elle-même respecter les principes de sécurité et de minimisation. Réservez les accès aux personnes chargées de l’examen, encadrez les extractions et prévoyez le sort des copies si la négociation échoue. Ce sont des mesures à adapter au risque au titre de l’Art. 32 ; aucun outil de partage ne garantit la conformité du dossier par sa seule présence.

Documenter les exclusions et les incertitudes

Une difficulté fréquente consiste à traiter toutes les lignes non clairement exclues comme utilisables. Pour éviter cette confusion, séparez les motifs d’exclusion des questions qui restent à résoudre. Une opposition connue appelle une action différente d’une preuve de collecte encore recherchée. L’absence de pièce ne prouve pas systématiquement une irrégularité, mais elle ne justifie pas non plus l’usage sans examen.

Une grille contractuelle proposée peut distinguer les états suivants :

Cette grille n’attribue aucune valeur financière automatique. Elle permet de discuter un périmètre effectivement justifié et de rendre visibles les réserves. Les parties peuvent organiser leurs conséquences contractuelles, mais celles-ci doivent être examinées avec le reste de l’opération. L’arrêt de 2013 ne fournit pas un prix unitaire ni une règle générale d’évaluation de toute clientèle.

Préparer l’information et les sollicitations de l’acquéreur

L’information de la personne et l’autorisation d’utiliser ses données répondent à des questions distinctes. Envoyer une notice sur le changement de responsable ne crée pas un consentement à la publicité. À l’inverse, disposer d’un consentement pertinent ne dispense pas de fournir les informations exigées pour le traitement mis en œuvre.

Lorsque l’acquéreur obtient les données indirectement, l’Art. 14(1) et (2) précise les informations à examiner, dont l’identité du responsable, les finalités, la base juridique et la source. L’Art. 14(3) encadre leur moment de fourniture : délai raisonnable ne dépassant pas un mois, avec des échéances propres en cas de communication avec la personne ou de nouvelle divulgation. Les exceptions de l’Art. 14(5) doivent être vérifiées dans la situation réelle. Information et droits dans le RGPD.

Pour une campagne électronique destinée à des particuliers, examinez séparément l’article L. 34-5 du Code des postes et des communications électroniques. Le seul fait que la personne ait été cliente du vendeur ne permet pas de présumer que l’acquéreur remplit les conditions d’une exception. Le fichier acheté ne doit pas être activé dans un outil d’envoi avant cette qualification.

Vérifier la livraison et suivre les droits après la cession

Au moment de la remise, rapprochez le fichier reçu du périmètre convenu : champs, populations, exclusions et date de référence. Une extraction préparée avant une nouvelle opposition peut être devenue inexacte au regard du dernier état des choix. Définissez comment les événements intervenus entre préparation et livraison seront pris en compte.

Préparez également le circuit des demandes reçues après l’opération. Si une personne s’oppose à la prospection, l’Art. 21(2) et (3) impose de cesser ce traitement, y compris le profilage qui lui est lié. La coordination entre les acteurs doit permettre de traiter les demandes pertinentes sans imposer à la personne de résoudre elle-même leur organisation contractuelle.

Enfin, ne confondez pas réception technique et acceptation juridique. Un fichier qui s’importe correctement peut encore comporter des usages non justifiés ou des réserves non résolues. Le compte rendu de réception doit conserver ces limites, les actions attendues et leurs responsables. C’est cette analyse des possibilités réelles d’utilisation qui rend la discussion sur la valeur du fichier plus solide qu’un ancien numéro CNIL ou un nombre brut de contacts.

Ce qu’il faut retenir

• L’arrêt de 2013 se comprend dans l’ancien régime de déclaration.
• Le numéro CNIL n’est plus le critère général de conformité d’un fichier commercial.
• La valeur du fichier dépend aussi des usages licites qu’il permet réellement.
• Les garanties contractuelles doivent être accompagnées de pièces vérifiables.

FAQ

Faut-il encore déclarer un fichier de clients ordinaire ?

Le régime général de déclaration a été supprimé avec l’application du RGPD. Cela ne dispense pas de respecter les obligations de fond ni les formalités propres à certains traitements particuliers.

Un ancien récépissé CNIL sécurise-t-il une vente actuelle ?

Il documente une démarche passée. Il ne valide pas les nouvelles finalités, les nouveaux destinataires ou la situation actuelle des personnes du fichier.

Le prix peut-il être fondé sur le nombre total de lignes ?

Les parties peuvent négocier leur méthode de valorisation, mais un décompte brut masque les doublons, exclusions et limites d’usage. Une vérification du périmètre exploitable est plus utile pour apprécier l’actif.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.