La Douille, c’est la newsletter de Volkane qui raconte le droit au monde des affaires, un dimanche sur deux. Pour la recevoir, abonnez-vous ici.
Contrat SaaS et non-conformité RGPD : quand un client obtient la résolution du contrat
Modèle SaaS, engagement de 4 ans et porteur financier
Ces dernières années, tout le monde s’est mis au SaaS.
Alors pourquoi pas Clodomir ?
Depuis toujours, son agence livre des solutions digitales clé en main aux TPE. Il leur fournit un pack site internet et logiciel de gestion de leur activité.
Depuis 5 ans, son modèle a changé. Il a délaissé le développement sur mesure pour un modèle en SaaS.
Ses clients souscrivent pour un abonnement mensuel avec 4 ans d’engagement minimum. Derrière, un porteur financier le paie cash à la signature et prélève ensuite le client tous les mois.
Les CGV sont musclées : en cas de défaut de paiement du client, la résiliation intervient de plein droit et le client doit régler l’intégralité des loyers restant à courir jusqu’au terme, plus une clause pénale de 10 %, tout en restituant le site (le contrat est une licence d’exploitation, pas un transfert de propriété).
La transformation fonctionne très bien. L’équipe commerciale fait du volume.
2 000 clients actifs.
Anatole, un nouveau client, souscrit au pack. Trois semaines plus tard tout est opérationnel. Le porteur financier paie Clodomir, et prélève Anatole tous les mois.
Business as usual.
Défaut de paiement et mise en demeure : droit de rétractation et contrepartie illusoire
Dix-huit mois plus tard, Anatole a un redressement URSSAF et le trou dans la trésorerie qui va avec. Il demande à suspendre son abonnement pour quelques mois.
Mais vous imaginez bien que le porteur financier n’est pas le genre d’acteur avec qui on négocie.
Anatole appelle donc son avocate qui dégaine une mise en demeure empilant ces angles d’attaque :
1° Elle fait valoir un droit de rétractation : elle soutient qu’Anatole a contracté en qualité de non-professionnel de moins de cinq salariés en contractant hors du champ de son activité principale, ce qui permet en conséquence d’appliquer certaines protections des consommateurs.
2° Elle attaque la validité même du contrat : pour cela, elle s’appuie sur la clause qui prévoit qu’en cas de résiliation, Anatole doit payer tous les loyers restant à courir plus 10 % de clause pénale tout en étant privé du site. Elle soutient que cette clause revient à payer quatre ans d’abonnement sans rien recevoir en contrepartie, ce qui rendrait le contrat nul pour contrepartie illusoire.
Le courrier part en double destinataire, Clodomir et le porteur financier.
Clodomir n’est pas inquiet pour autant. Il a vu passer plusieurs fois plus ou moins le même type de demandes qu’il a chaque fois réussi à repousser.
Anatole est un professionnel qui a souscrit un pack site internet et logiciel de gestion pour les besoins de son activité : pour Clodomir, on est en plein dans son champ d’activité principale, la protection du non-professionnel ne peut donc pas jouer. L’argument n°1 est donc out.
Sur l’argument n°2, il répond que la contrepartie s’apprécie à la formation du contrat, pas à l’aune des conséquences de sa résiliation. Or le contrat prévoit bien une licence d’exploitation, de la maintenance et un hébergement en contrepartie des loyers.
Clodomir répond en ce sens à la lettre de mise en demeure.
Première instance : le tribunal donne raison à l’éditeur SaaS
Mais Anatole ne s’arrête pas là.
Il va devant le tribunal des affaires économiques (anciennement de commerce) et… perd sur tous les plans.
Le tribunal donne raison pour tout à Clodomir.
Il écarte tous les arguments et condamne Anatole à payer 34 000 euros.
Appel : un constat d’huissier sur la non-conformité RGPD fait résoudre le contrat
Mais Anatole décide de faire appel. Ce qui laisse à son avocat deux ans pour creuser les arguments.
Il fait appel à un huissier (devenu commissaire de justice) pour faire attester qu’il manque sur le site vendu par Clodomir :
- Le bandeau de consentement cookies,
- Que deux cookies Google Analytics installés sans autorisation préalable,
- Qu’il y a un module reCAPTCHA qui aspire des données matérielles sans rien demander,
- Qu’il y a un formulaire de contact qui collecte nom, téléphone, email sans aucune mention RGPD.
À l’audience d’appel, l’avocate d’Anatole plaide surtout une chose : le site internet livré n’est pas conforme à la réglementation sur les données personnelles.
Cet argument lui permet de considérer que Clodomir n’a pas exécuté son obligation de délivrance conforme et il demande en conséquence la résolution du contrat.
La Cour d’appel est convaincue et lui donne raison sur tous les points. Le contrat est donc résolu avec effet rétroactif. Cela veut dire que l’on fait comme si ce contrat n’avait jamais existé.
La conséquence ?
- Clodomir doit rembourser le porteur financier de l’enveloppe globale qu’il a reçu au début
- Le porteur financier doit rembourser les loyers perçus.
C’était déjà une bien mauvaise nouvelle.
Mais vous commencez à le savoir : une douille n’arrive jamais seule, d’abord elles s’additionnent, ensuite elles se multiplient.
Deux semaines plus tard, un des commerciaux de Clodomir lui rapporte une information : Anatole aurait déjeuné avec des prospects de l’agence. Rien d’illégal, juste un déjeuner mais personne ne sait comment ils ont été présentés.
Le mois suivant, Clodomir reçoit deux mises en demeure. Toutes rédigées par le même cabinet d’avocates que celui saisi par Anatole. Toutes sur le même fondement : non-conformité RGPD et obligation de délivrance.
Bien sûr, aucun lien prouvable entre les deux.
Mais quand Clodomir regarde combien de ses clients actuels ont exactement le même paramétrage RGPD sur leur produit que ce qu’ils avaient fait pour Anatole, il a une petite sueur froide.
Il y en a 1 200.
Quand le RGPD fait tomber votre contrat SaaS : l’obligation de délivrance conforme
Conformité RGPD : une obligation de résultat pour l’éditeur spécialiste (CA Bordeaux, 13 mai 2025)
Récemment, la Cour d’appel de Bordeaux a rendu un arrêt comme il en existe peu (Cour d’appel de Bordeaux, 4ème chambre commerciale, 13 mai 2025, RG n° 23/02044).
Cet arrêt n’est pas de la Cour de cassation, mais il est remarquablement pédagogique et vient rappeler que la conformité RGPD est une obligation de résultat lorsque l’on est un spécialiste.
Sur la partie RGPD, nous voyons souvent des éditeurs tech qui considèrent : « Je suis tenu à une obligation de moyens, pas de résultat. J’ai fait de mon mieux. »
La Cour d’appel répond implicitement le contraire.
Quand votre métier consiste à livrer un produit technique clé en main, votre obligation de délivrance conforme est une obligation de résultat. Le RGPD et la loi Informatique et Libertés font partie intégrante de ce que vous êtes censé livrer. Si le site ne respecte pas la règlementation, vous n’avez pas livré ce que vous étiez censé livrer.
Alors quelle est la solution ?
Elle est technique et organisationnelle.
- Faites auditer vos produits vendus (sites, apps, plateformes) pour vous rassurer sur leur niveau de conformité. Vous découvrirez probablement des choses.
- Ne pensez pas que la clause « le partenaire est seul responsable du contenu » de vos CGV vous exonère de votre obligation de délivrance technique conforme.
Non-conformité RGPD et concurrence déloyale (TJ Paris, 15 avril 2022)
Et ce n’est pas tout. Dans autre jugement (TJ Paris, 15 avril 2022, n° 19/12628), le Tribunal judiciaire de Paris a jugé pour la première fois en France qu’un manquement au RGPD constitue un acte de concurrence déloyale : le juge considère que « tout manquement à la réglementation dans l’exercice d’une activité commerciale induit nécessairement un avantage concurrentiel indu par son auteur ».
Autrement dit, de plus en plus, vos clients ou concurrents peuvent utiliser votre non-conformité pour vous chercher des ennuis. Et inversement.
FAQ : RGPD, obligation de délivrance et contrat SaaS
La conformité RGPD est-elle une obligation de moyens ou de résultat pour un éditeur SaaS ?
Quand votre métier consiste à livrer un produit technique clé en main, votre obligation de délivrance conforme est une obligation de résultat. Le RGPD et la loi Informatique et Libertés font partie intégrante de ce que vous êtes censé livrer : si le site ne respecte pas la réglementation, vous n’avez pas livré ce que vous étiez censé livrer (Cour d’appel de Bordeaux, 13 mai 2025).
Une clause CGV « le partenaire est seul responsable du contenu » exonère-t-elle l’éditeur ?
Non. Cette clause ne vous exonère pas de votre obligation de délivrance technique conforme. Il est recommandé de faire auditer les produits vendus (sites, apps, plateformes) pour vérifier leur niveau de conformité.
Une non-conformité RGPD peut-elle constituer un acte de concurrence déloyale ?
Oui. Le Tribunal judiciaire de Paris (15 avril 2022, n° 19/12628) a jugé pour la première fois en France qu’un manquement au RGPD constitue un acte de concurrence déloyale, considérant que tout manquement à la réglementation dans l’exercice d’une activité commerciale induit nécessairement un avantage concurrentiel indu par son auteur.
Toute ressemblance avec des faits et des personnages existants ou ayant existé serait purement fortuite et ne pourrait être que le fruit d’une pure coïncidence.
