décision 14-87.753 du 09/02/2016,  partie 6



 6° - le ou les services chargés de mettre en oeuvre le traitement ainsi que, pour les traitements relevant des articles 25, 26 et 27, les catégories de personnes qui, en raison de leurs fonctions ou pour les besoins du service, ont directement accès aux données enregistrées ;
 7° - les destinataires ou catégories de destinataires habilités à recevoir communication des données ;
 8° - la fonction de la personne ou le service auprès duquel s'exerce le droit d'accès prévu à l'article 39, ainsi que les mesures relatives à l'exercice de ce droit ;
 9° - les dispositions prises pour assurer la sécurité des traitements et des données et la garantie des secrets protégés par la loi et, le cas échéant, l'indication du recours à un sous-traitant ;
 10° - le cas échéant, les transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne, sous quelque forme que ce soit, à l'exclusion des traitements qui ne sont utilisés qu'à des fins de transit sur le territoire français ou sur celui d'un autre Etat membre de la Communauté européenne au sens des dispositions du 2° du I de l'article 5... :
 II. - le responsable d'un traitement déjà déclaré ou autorisé informe sans délai la commission :
 - de tout changement affectant les informations mentionnées au I :
 - de toute suppression du traitement" ; 
 que le non-respect des formalités préalables à la mise en oeuvre d'un système de traitement de données à caractère personnel est réprimé, depuis l'entrée en vigueur de la loi du 6 août 2004, par l'article 226-16 du code pénal prévoyant une peine de cinq ans d'emprisonnement et 300 000 euros d'amende ; qu'auparavant, lors de l'installation du système litigieux en 1996, et jusqu'au 31 décembre 2001, cette infraction était réprimée par l'article 226-16 du code pénal, lequel prévoyait cependant une peine de trois années d'emprisonnement et 300 000 francs d'amende ; qu'entre le 1er janvier 2002 et la 6 août 2004, cette infraction était réprimée par le même texte, par un emprisonnement d'une durée de trois ans et une amende d'un montant de quarante cinq mille euros ; qu'en l'espèce, sur l'installation du système de caméras en 1996, malgré le caractère très vague des informations fournies, concernant les caractéristiques du système de vidéosurveillance installé en 1996, sur le site Aérazur, et l'incertitude sur l'utilisation, dès l'origine, d'un système informatique de stockage ou de transmission des images enregistrées par la ou les caméras installées, on doit considérer que les dispositions de la loi du 6 janvier 1978, qui étaient en vigueur en 1996, susvisées, étaient bien applicables à cette ou à ces caméras de surveillance ; qu'il s'agissait, dès l'origine d'un système automatisé d'enregistrement de données, données nominatives, puisque concernant spécifiquement les salariés de la société Aérazur, salariés dont l'identification était aisée pour l'utilisateur du système ; que le fait qu'une ou que des caméras de surveillance enregistrent les images sur la voie publique ne fait pas obstacle à l'application de la loi du 6 janvier 1978, dès lors qu'il s'agit seulement de la voie publique aux abords immédiats du site privé, en l'espèce devant l'entrée ; que la société Aérazur ne produit ne fait état d'aucun élément, matériel ou juridique, qui aurait été susceptible de la dispenser de respecter l'obligation de déclarer ce système de vidéosurveillance à la CNIL, avant sa mise en oeuvre ; que, notamment, le classement confidentiel défense de l'entreprise qui impliquait l'obligation réglementaire ou contractuelle de mettre en oeuvre ce système, ne faisait pas échec à l'application de l'obligation de la déclarer auprès de la CNIL ; que la partie civile produit aux débats l'information fournie par la CNIL, en février 2011, selon laquelle aucune formalité de déclaration du système litigieux n'avait encore été effectuée par la société Aérazur ; que les dispositions de la loi du 6 janvier 1978, telles qu'applicables en 1996, prévoyaient déjà qu'un système de traitement des données devant faire l'objet d'une déclaration à la CNIL ne pouvait pas être mis en oeuvre avant que l'utilisateur n'ait reçu le récépissé de l'accomplissement de cette formalité ; qu'or, la société Aérazur ne produit pas le récépissé de la déclaration qu'elle prétend avoir effectuée à l'occasion de l'installation du système en 1996 ; que les deux attestations produites par la société Aérazur émanant d'anciens responsables de l'entreprise sont, quelle que soit la bonne foi de leurs auteurs, inopérantes pour établir le respect de cette obligation de déclaration à la CNIL ; qu'en effet, cette obligation légale n'est remplie que si la déclaration comporte l'ensemble des mentions exigées par la loi, notamment, quant à la finalité exacte du traitement des données nominatives, quant aux caractéristiques du système installé, quant aux personnes ayant accès aux données ou concernées par ces données, etc... que le récépissé de la déclaration n'est transmis à l'utilisateur, et le système de traitement des données ne peut donc être mis en oeuvre que si l'ensemble de ces informations ont été correctement fournies à la CNIL ; qu'aucune de ces attestations produites par la société Aérazur ne permet de supposer que la déclaration à la CNIL, qui aurait été effectuée selon les attestants, comportait bien les mentions exigées par la loi ;