Cour d'appel, Pôle 1 - Chambre 2, 4 septembre 2025, n° 24/18156

Faits et procédure

*** EXPOSE DU LITIGE Par jugement du 3 décembre 2008 le tribunal de commerce de Nanterre a jugé que M. [P] a régulièrement avalisé un billet à ordre consenti par la Banque populaire rives de [Localité 8] (la BPRP ou la banque) à la société Sadim design dont il était le dirigeant. Cette société ayant été mise en liquidation, M. [P] a été condamné à payer à la société BPRP la somme de 600.000 euros au titre de ce billet à ordre. La BPRP a fait appel de ce jugement en ce qu'elle a été déboutée de sa demande complémentaire en paiement d'une somme de 200.000 euros au titre d'un second billet à ordre avalisé par M. [P]. Par arrêt du 15 avril 2010, la cour d'appel de Versailles a confirmé ce jugement du 3 décembre 2008 en ce qu'il a condamné M. [P] à payer la somme de 600.000 euros à la BPRP ; elle l'a infirmé en ce qu'il a débouté la BPRP de sa demande complémentaire et statuant à nouveau a condamné M. [P] au paiement de la somme de 200.000 euros. Par arrêt du 6 décembre 2011, la Cour de cassation a rejeté le pourvoi de M. [P] formé contre l'arrêt de la cour d'appel de Versailles. Le 29 juillet 2013, le juge d'instruction du tribunal de grande instance de Nanterre a rendu une ordonnance de non-lieu sur la plainte avec constitution de partie civile déposée contre X le 24 juillet 2009 par M. [P], celui-ci arguant de man'uvres des employés de la BPRP dans la souscription des billets à ordre. Cette décision a été confirmée par arrêt de la chambre de l'instruction de la cour d'appel de Paris en date du 30 janvier 2014. Par arrêt du 6 mai 2015, la Cour de cassation a rejeté le pourvoi formé par M. [P] contre cet arrêt du 30 janvier 2014. Par courrier du 8 juillet 2016, M. [P] demandait à la BPRP l'ouverture d'un enquête interne afin de clarifier les circonstances, les acteurs et les responsabilités éventuelles de ses équipes et de son organisation sur son dossier. A partir de 2017, il a adressé à la banque de nombreuses demandes de communication de l'ensemble des données personnelles le concernant contenues notamment dans le résultat de l'enquête interne sollicitée. Se plaignant d'une obstruction de la BPRP dans la remise de ses données personnelles, M. [P] a saisi la Commission nationale de l'informatique et des libertés (la CNIL). Par décision rendue le 23 février 2023, constatant des manquements de la banque cette Commission a fait un rappel à la BPRP de ses obligations légales en matière de communication de données personnelles. Par requête en date du 19 février 2024, M. [P] a sollicité l'exécution d'une mesure d'instruction in futurum auprès du président du tribunal des commerce de Paris, qui a rejeté cette requête par ordonnance du même jour au motif qu'il n'était pas justifié de déroger au principe de la contradiction. Par arrêt du 19 avril 2024, le Conseil d'Etat a rejeté le recours de M. [P] contre la décision rendue par la CNIL le 23 février 2023. Par exploit du 13 juin 2024, M. [P] a fait assigner la Banque populaire rives de [Localité 8] devant le juge des référés du tribunal de commerce de Paris aux fins de voir : constater qu'il justifie d'un motif légitime à solliciter une mesure d'instruction avant tout procès à l'encontre de la Banque populaire rives de [Localité 8] aux fins d'établir la réalité et, in fine, d'obtenir communication par voie forcée des données personnelles conservées par la défenderesse en violation de ses obligations légales et de voir sanctionner la résistance injustifiée de la défenderesse ainsi que l'atteinte portée à son droit d'accès sur le fondement des dispositions de la Loi Informatique et Libertés du 6 janvier 1978 et du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; en conséquence, désigner tel commissaire de justice compétent avec pour mission de : se rendre au siège de la Banque populaire rives de [Localité 8] (RCS [Localité 8] 552002313) sis [Adresse 5]) ; ainsi qu'en tous lieux utiles et nécessaires que ferait ressortir d'exécution de la mesure ; se faire remettre par les personnes rencontrées sur place ou à défaut rechercher afin d'en prendre copie sur quelque support que ce soit, matériel ou immatériel (ordinateur fixe ou portable, clé USB, DVD, CD-[Localité 10], disquette, appareil de stockage de mémoire externe, téléphone portable, tablette, serveur, cloud, ou autres matériels apparentés) ; tout élément ou document relatif aux relations entre M. [P], la société Sadim design et la Banque populaire rives de [Localité 8] et notamment la teneur comme les résultats des investigations que la banque a admis avoir réalisé dans son courrier du 13 janvier 2017 ; tout échange, notamment électronique (courrier, courriel, conversations WHATSAPP, SIGNAL ou autres applications apparentées) le cas échéant avec leurs pièces jointes contenant son nom ou celui de la société Sadim design à l'exception des correspondances échangées entre la banque et ses avocats et donc susceptibles d'être couvertes par le secret professionnel ; autoriser le commissaire de justice, avec l'assistance du ou des experts informatiques de son choix : à se munir de tout appareil approprié à l'exercice de sa mission et à brancher ou installer sur les matériels et équipements trouvés sur place, avec, en tant que de besoin, le concours des personnes s'y trouvant, tout ordinateur, logiciel, périphérique ou matériel nécessaire ; à rechercher ou à se faire communiquer par les personnes rencontrées sur place, les codes d'accès de ces équipements et procéder, à défaut, à l'extraction des données en ayant recours en tant que de besoin à des outils appropriés, y compris de « jailbreak » ; à prendre copie par tous moyens à sa disposition et sur tout support de son choix des éléments retrouvés en rapport avec sa mission et à remettre à l'expert informatique un exemplaire des données copiées afin que celui-ci procède aux opérations purement techniques (récupération de données, indexations et autres opérations de tri) de nature à en permettre l'exploitation des informations saisies ; en cas de difficulté, à emporter les matériels, équipements et documents trouvés sur place, à charge pour lui de les restituer sous 48H, afin de permettre leur reproduction ; dire que le commissaire de justice devra signifier aux personnes requises au terme de ses opérations la liste des éléments saisis ; ordonner que ces pièces seront séquestrées pendant 30 jours et que si les personnes requises n'ont pas agi en rétractation dans ce délai le commissaire de justice pourra se libérer des pièces ; dire que le commissaire de justice dressera un procès-verbal de constat qui sera remis aux parties et soit les comprenant la liste des éléments appréhendés, laquelle pourra être communiquée sous 48H en cas de difficultés ; dire que les personnes requises devront s'abstenir d'entraver de quelque manière que ce opérations du commissaire de justice qui pourra recourir au concours de la force publique ainsi que d'un serrurier ; dire que le commissaire de justice référera de toute difficulté. Par ordonnance contradictoire du 21 octobre 2024, le juge des référés du tribunal de commerce de Paris a : dit recevable la demande de M. [P] ; désigné la société [S] [B] prise en la personne de Me [B] avec pour mission de : se rendre : au siège de la Banque populaire rives de [Localité 8] (RCS [Localité 8] 552 002 313) sis [Adresse 6] ; ainsi qu'en tous lieux utiles et nécessaires que ferait ressortir d'exécution de la mesure, y compris auprès de la société d'archivage ACSG (RCS [Localité 9] 400 847 703) sise [Adresse 1] qui détiendrait les archives bancaires de la Sadim design ; se faire remettre par les personnes rencontrées sur place ou à défaut rechercher afin d'en prendre copie sur quelque support que ce soit, matériel ou immatériel (ordinateur fixe ou portable, clé USB, DVD, CD-[Localité 10], disquette, appareil de stockage de mémoire externe, téléphone portable, tablette, serveur, cloud, ou autres matériels apparentés) des données personnelles de M. [V] [E] [P] qui seraient en possession de la banque et plus précisément : tout élément ou document relatif aux données personnelles de M. [P] incluant les données que celui-ci a communiquées relativement à la société Sadim design et qui seraient encore en possession de la BPRP ainsi que la teneur et les résultats des éventuelles investigations ou de l'enquête interne ; tout échange, notamment électronique (courrier, courriel, SMS, conversations WHATSAPP, SIGNAL ou autres applications apparentées) le cas échéant avec leurs pièces jointes contenant son nom ou celui de la société Sadim design et portant sur ces mêmes données à caractère personnel à l'exception des correspondances échangées par la banque avec ses avocats susceptibles d'être couvertes par le secret professionnel ; autorisé le commissaire de justice, avec l'assistance du ou des experts informatiques de son choix : à se munir de tout appareil approprié à l'exercice de sa mission et à brancher ou installer sur les matériels et équipements trouvés sur place, avec, en tant que de besoin, le concours des personnes s'y trouvant, tout ordinateur, logiciel, périphérique ou matériel nécessaire ; à rechercher ou à se faire communiquer par les personnes rencontrées sur place, les codes d'accès de ces équipements et procéder, à défaut, à l'extraction des données en ayant recours en tant que de besoin à des outils appropriés, y compris de « jailbreak » ; à prendre copie par tous moyens à sa disposition et sur tout support de son choix des éléments retrouvés en rapport avec sa mission et à remettre à l'expert informatique un exemplaire des données copiées afin que celui-ci procède aux opérations purement techniques (récupération de données, indexations et autres opérations de tri) de nature à permettre l'exploitation des informations saisies ; en cas de difficulté, à emporter les matériels, équipements et documents trouvés sur place, à charge pour lui de les restituer sous 48 heures, afin de permettre leur reproduction ; dit que le commissaire de justice devra signifier aux personnes requises au terme de ses opérations la liste des éléments saisis ; dit que commissaire de justice dressera un procès-verbal de constat qui sera remis aux parties et comprenant la liste des éléments appréhendés, laquelle pourra être communiquée sous 48 heures en cas de difficultés ; dit que les personnes requises devront s'abstenir d'entraver de quelque manière que ce soit les opérations du commissaire de justice qui pourra recourir au concours de la force publique ainsi que d'un serrurier ; dit que le commissaire de justice référera de toute difficulté ; fixé à 5.000 euros HT la provision à valoir sur ses diligences à verser par M. [P] ; rejeté la demande de la BPRP de dommages et intérêts ; rejeté la demande d'interdiction de la BPRP au visa de l'article 873 du code de procédure civile ; condamné la BPRP à payer à M. [P] la somme de 5.000 euros en application de l'article 700 du code de procédure civile ; condamné en outre la BPRP aux dépens de l'instance, dont ceux à recouvrer par le greffe liquidés à la somme de 79,84 euros TTC dont 12,88 euros de TVA. Par déclaration du 25 octobre 2024, la Banque populaire rives de [Localité 8] a relevé appel de cette décision. Dans ses dernières conclusions remises et notifiées le 23 mai 2025, elle demande à la cour, de : A titre principal : infirmer l'ordonnance de référé en toutes ses dispositions et statuant à nouveau, déclarer les demandes de M. [P] irrecevables, ou, à défaut, déclarer les demandes de M. [P] infondées. débouter M. [P] de toute ses demandes, fins et conclusions. A titre subsidiaire : infirmer l'ordonnance de référé dans ses dispositions suivantes : « à l'exception des correspondances échangées par la banque avec ses avocats susceptibles d'être couvertes par le secret professionnel » ; statuant à nouveau sur cette disposition : ordonner que soient exclus du périmètre de la mesure, tous les échanges entre l'avocat et son client, toute pièce du dossier, tous supports, matériels ou immatériels, les consultations adressées par un avocat à son client, les correspondances adressées par un avocat à son client, y compris les notes d'entretien, et plus généralement toutes les pièces du dossier, toutes les informations et toutes les confidences reçues par l'avocat dans l'exercice de sa profession, conformément à l'article 66-5 de la loi du 31 décembre 1971 et à l'article 2.2 du R.I.N ; à titre reconventionnel : condamner M. [P] à lui payer, à titre provisionnel, la somme de 50.000 euros à titre de dommages et intérêts ; faire interdiction à M. [P] de s'adresser directement à elle, par quelque moyen que ce soit, et ce sous astreinte de 1.000 euros par infraction constatée, à compter du prononcé de l'ordonnance à intervenir ; se réserver le droit de liquider l'astreinte ; en tout état de cause : condamner M. [P] à lui payer la somme de 15.000 euros au titre de l'article 700 du code de procédure civile ; condamner M. [P] aux dépens. Elle soutient que la demande de M. [P] est irrecevable du fait de l'autorité de la chose jugée attachée aux décisions de la CNIL et du Conseil d'Etat ayant constaté que la banque a fait droit à la demande d'accès de M. [P] à ses données et qu'elle ne détient pas d'autres données à caractère personnel le concernant que celles qui lui ont déjà été fournies. A défaut, elle estime que la demande est infondée, faisant valoir : que l'ordonnance de référé se situe hors du champ légal dès lors qu'elle a autorisé M. [P] à accéder aux documents contenant ses données personnelles et non à ses données elles-mêmes, alors que le juge doit limiter le choix de la mesure à ce qui est suffisant pour la solution du litige, que la remise d'un document contenant de la donnée personnelle n'est pas une obligation légale, que l'ordonnance déférée n'est pas suffisamment précise pour assurer que certaines données pouvant être qualifiées de personnelles ne puissent en réalité concerner les tiers et présenter un caractère confidentiel ; que M. [P] n'est pas légitime à soutenir que son action aurait pour objet de connaître l'ampleur de la violation de son droit d'accès, alors qu'aucun indice d'une remise incomplète de ses données n'existe, à l'exception de ses seules affirmations, la CNIL et le Conseil d'Etat ayant déjà jugé qu'aucun élément ne laissait entendre que la réponse au droit d'accès était incomplète ; que l'existence alléguée d'un enquête interne de nature à influer sur un litige qui a été déjà largement jugé au fond est d'autant moins crédible que le juge d'instruction saisi de la plainte pour escroquerie avec constitution de partie civile de M. [P] a mené des investigations et rendu une ordonnance de non-lieu, confirmée par la chambre de l'instruction par son arrêt du 30 janvier 2014, de sorte que pour les juridictions pénales il n'est pas crédible que M. [P] ait ignoré les conséquences de ses engagements contractuels envers la banque ; que la Banque populaire rives de [Localité 8] ne détient plus aucun élément à transmettre à M. [P] ; qu'en outre le critère du caractère préalable de la mesure d'instruction n'est pas rempli puisqu'ont été préalablement formées contre la banque l'action pénale pour escroquerie et l'action devant la CNIL puis le Conseil d'Etat ; et la Cour de cassation exclut que l'article 145 du code de procédure civile ait pour objet ou pour effet de remettre en cause la chose jugée ; que pour fonder sa demande d'instruction, il incomberait à M. [P] de démontrer un motif légitime qui justifierait d'accroire sa version des faits selon laquelle des données personnelles lui appartenant seraient encore dissimulées à son préjudice ; or ce motif légitime fait défaut, ce qui a amené la CNIL à ne pas mener d'investigations complémentaires et le Conseil d'Etat à rejeter le recours du demandeur ; qu'en outre le préjudice qui résulterait pour M. [P] d'une remise tardive et/ou incomplète est inexistant. A titre subsidiaire, l'appelante dénonce le caractère disproportionné de la mesure, devant conduire à limiter son périmètre, en ce qu'elle permettrait à M. [P] d'avoir accès à des documents portant atteinte au secret professionnel auquel est tenue la banque. Dans ses dernières conclusions remises et notifiées le 26 mai 2025, M. [P] demande à la cour de : confirmer l'ordonnance entreprise en toutes ses dispositions ; ordonner la remise à M. [P] par Me [B] des pièces appréhendées suivant cette ordonnance ; débouter la Banque populaire rives de [Localité 8] de toutes ses demandes, fins et prétentions ; par ailleurs, condamner la Banque Populaire rives de [Localité 8] à lui payer la somme de 50.000 euros à titre de dommages-intérêts au titre de son comportement procédural abusif ; condamner la Banque populaire rives de [Localité 8] à lui payer à M. [P] la somme de 15.000 euros au titre de l'article 700 du code de procédure civile ; et condamner la Banque Populaire Rives de [Localité 8] aux entiers dépens. Il soutient : que les mesures probatoires qu'il sollicite ont pour objet d'engager une action en responsabilité contre la BPRP au titre de la violation de son droit d'accès à ses données personnelles, et obtenir réparation de son préjudice ; que s'il est constant que plusieurs litiges ont déjà opposé les parties, ces précédentes instances, pas plus que la procédure de contrôle de la CNIL et le recours devant le Conseil d'Etat, n'ont le même objet que cette action en responsabilité envisagée ; qu'il ne s'agit en aucune façon pour M. [P] de rouvrir un litige définitivement clos, mais d'exercer une action nouvelle et distincte, au titre de la rétention par la BPRP d'ores et déjà constatée par la CNIL, et dont l'étendue exacte sera déterminée par la mesure d'instruction sollicitée, sur le fondement autonome des dispositions de la loi Informatique et Libertés et du RGPD ; qu'il est faux d'affirmer que les décisions de la CNIL ou du Conseil d'Etat ont autorité de chose jugée dans le cadre du présent litige ; la CNIL est une autorité non juridictionnelle ; aucune autorité ne peut s'attacher à de simples motifs ; il n'existe aucune identité de parties, de cause et d'objet entre ces procédures administratives et l'action en responsabilité envisagée contre la BPRP ; qu'en outre le Conseil d'Etat n'a pas exclu la rétention de données par la BPRP, il s'est borné à s'assurer que la CNIL, pour refuser la mise en 'uvre d'investigations complémentaires, n'avait pas retenu de faits matériels erronés ni entaché sa décision d'une erreur de droit ; qu'il est bien justifié d'un motif légitime à voir ordonner la mesure d'instruction, laquelle constitue l'unique moyen pour M. [P] de déterminer l'exacte mesure de la violation de son droit d'accès à ses données personnelles dans la perspective de l'action en responsabilité qu'il projette d'introduire contre la banque ; que sa demande se fonde tout à la fois sur sa connaissance des documents manuscrits et formulaires signés par ses soins à l'ouverture de ses comptes, objet de sa demande d'investigations internes et dont la BPRP lui refuse depuis près de dix ans la communication, sur les contradictions et revirements de la banque tout au long de cette période, celle-ci ayant reconnu puis nié avoir diligenté de telles investigations, et enfin sur la décision rendue par la CNIL, constatant de multiples manquements de la BPRP à ses obligations et ayant permis à M. [P] de se voir communiquer des données personnelles dont la banque affirmait depuis des années ne plus disposer ; qu'en outre le courrier du 13 janvier 2017 émanant du service juridique de la BPRP évoque de manière univoque l'existence d'investigations internes et le refus par la banque d'en communiquer le résultat ; qu'enfin la mesure qui a été ordonnée est bien strictement proportionnée au but poursuivi, à savoir établir la rétention par la BPRP de certaines des données personnelles de M. [P], l'ordonnance se bornant à permettre au commissaire de justice d'appréhender les seules données personnelles de M. [P], en parfaite conformité avec les dispositions impératives de la loi Informatique et Libertés et du RGPD, instituant un droit d'accès à ces données quel que soit leur support ; que d'ailleurs seuls 46 documents et 406 emails ont été saisis. Conformément aux dispositions de l'article 455 du code de procédure civile, il est renvoyé aux conclusions des parties susvisées pour un plus ample exposé de leurs prétentions et moyens. L'ordonnance de clôture a été rendue le 3 juin 2025.