Conformité au RGPD et droit des contrats : la cour d'appel de Douai prononce la nullité d'un contrat de création de site internet

Par un arrêt du 7 mai 2026, la cour d'appel de Douai a rappelé que les exigences relatives à la protection des données personnelles peuvent avoir des conséquences directes en droit des contrats. Saisie d'un litige opposant une société de création de sites internet à son client, la juridiction a considéré que la conformité du site livré à la réglementation applicable constituait une qualité essentielle de la prestation attendue. Constatant plusieurs irrégularités dans la collecte des données personnelles et le dépôt de cookies, elle a prononcé la nullité du contrat pour erreur sur une qualité essentielle au sens du Code civil. Cette décision illustre l'intégration croissante des exigences du Règlement général sur la protection des données (ci-après « RGPD ») dans les relations contractuelles entre professionnels. 

La conformité du site internet reconnue comme une qualité essentielle de la prestation 

L'affaire opposait la société Auffray Paysage à la société Axecibles, spécialisée dans la création et la location de solutions internet. La société paysagiste avait souscrit un contrat portant sur la réalisation et l'exploitation d'un site internet destiné à promouvoir son activité. Estimant que la prestation fournie ne répondait pas aux exigences attendues, elle a sollicité l'anéantissement du contrat. 

Déboutée en première instance, la société Auffray Paysage a interjeté appel. Devant la cour d'appel de Douai, elle soutenait notamment que le site internet livré collectait des données personnelles en méconnaissance des règles applicables à la protection des données et aux traceurs numériques. 

La juridiction a relevé que le site comportait plusieurs dispositifs de collecte de données, notamment un formulaire de contact, un système de demande de rappel et des cookies déposés sans recueil préalable du consentement des utilisateurs. Ces éléments conduisaient à une collecte de données personnelles réalisée dans des conditions non conformes à la réglementation applicable. 

La cour a alors considéré qu'un client faisant appel à un professionnel spécialisé dans la création de sites internet est légitimement en droit d'attendre que la solution fournie respecte les obligations légales encadrant la collecte des données personnelles. Cette conformité constituait dès lors une qualité essentielle de la prestation ayant déterminé le consentement du client. 

L'application du mécanisme de l'erreur sur une qualité essentielle 

Pour parvenir à cette solution, la cour s'est appuyée sur les articles 1132 et 1133 du Code civil. L'article 1132 prévoit que l'erreur portant sur les qualités essentielles de la prestation due ou du cocontractant constitue une cause de nullité du contrat lorsqu'elle a été déterminante du consentement. 

L'article 1133 précise quant à lui que les qualités essentielles sont celles qui ont été expressément ou tacitement convenues par les parties et en considération desquelles elles ont contracté. La cour a estimé que la conformité du site internet aux règles relatives à la protection des données personnelles relevait précisément de cette catégorie. 

Selon les juges, la société Auffray Paysage pouvait raisonnablement considérer qu'un prestataire professionnel maîtrisait les exigences applicables à la collecte de données personnelles et au dépôt de cookies. L'absence de conformité du site livré affectait donc une caractéristique déterminante de la prestation commandée. 

Cette analyse a conduit la cour à retenir l'existence d'une erreur sur une qualité essentielle de la prestation et, par conséquent, à prononcer la nullité du contrat. La décision illustre ainsi la capacité du droit commun des contrats à sanctionner indirectement le non-respect des règles relatives à la protection des données personnelles. 

Une décision révélatrice de l'influence croissante du RGPD dans les relations contractuelles 

Cet arrêt témoigne de l'importance désormais accordée aux exigences de conformité numérique dans les prestations informatiques. Si les règles relatives aux cookies et aux données personnelles relèvent principalement du droit de la protection des données, leur méconnaissance peut également produire des effets sur le terrain contractuel. 

La décision rappelle notamment que les professionnels du numérique ne peuvent se limiter à la seule fourniture technique d'un service. Ils doivent également veiller à ce que les solutions proposées respectent les obligations légales applicables, en particulier lorsqu'elles impliquent la collecte ou le traitement de données personnelles. 

La cour d'appel de Douai ne consacre pas une nouvelle cause autonome de nullité fondée sur le RGPD. Elle applique les mécanismes classiques du droit des contrats à une prestation qui ne présentait pas les caractéristiques légitimement attendues par le client. L'originalité de l'arrêt réside dans la reconnaissance du respect de la réglementation relative aux données personnelles comme élément déterminant du consentement contractuel. 

Cette décision s'inscrit dans un mouvement jurisprudentiel plus large tendant à intégrer les exigences de conformité numérique au sein des rapports contractuels. Elle rappelle que le respect des règles relatives à la protection des données personnelles ne constitue plus seulement un enjeu réglementaire ou administratif, mais également une exigence susceptible d'affecter la validité même des contrats. 

Par LOCK-T, avec la participation de Chelsea MINKA, stagiaire