décision 16-84.096 du 23/05/2018,  partie 2


que pour pouvoir bénéficier de la protection prévue par la loi du 6 janvier 1978 modifiée le 6 août 2004 et caractériser s'il y a lieu les infractions pénales résultant de la violation de certaines dispositions de la loi, les données à caractère personnel doivent non seulement être insérées dans un fichier constituant un ensemble structuré, stable accessible selon des critères déterminés, ce qui a été jugé acquis en l'espèce, mais encore faire l'objet d'un traitement automatisé ou non ; que les opérations susceptibles de recevoir la qualification de "traitement de données à caractère personnel" sont énoncées de manière non exhaustive au troisième alinéa de l'article 2 de la loi susvisée ; que les opérations réalisées par la secrétaire (dactylographie et sauvegarde par le nommage du document au format Word) sont susceptibles de correspondre à l'une ou l'autre de ces opérations et spécialement à la conservation et/ou l'enregistrement ; que néanmoins, elles font appel à des fonctionnalités simples s'agissant d'un classement ou d'un simple archivage sans automatisme particulier ou règles techniques d'extraction, de diffusion ou autre finalité inexistante lors de la création de ces documents ; que dans ces conditions, à défaut de la caractérisation d'un traitement automatisé de données à caractère personnel contenues dans un fichier, il n'incombait à quiconque une obligation de déclaration de ce fichier à la CNIL selon les modalités prévues par l'article 22 de la loi du 6 janvier 1978, seul susceptible de s'appliquer à ce type de données à l'exclusion de tout régime d'autorisation ; qu'ainsi, il n'existe aucune charge contre M. D... d'avoir violé les dispositions de l'article 226-16 du code pénal ; que sur l'application de l'article 226-17 du code pénal et la violation de l'obligation de mise en oeuvre des mesures prescrites par l'article 34 de la loi du 6 janvier 1978, qu'il incombe au responsable du traitement de prendre toutes précautions utiles   pour préserver la sécurité des données et notamment   empêcher que des tiers non autorises y aient accès (article 24 de la loi du 6 janvier 1978) ; que cette disposition ne fait aucune distinction selon que le traitement est automatisé ou non ; qu'il résulte de la procédure que le CEES et l'ENA avaient un ingénieur informatique unique occupant les fonctions de chef du service informatique au moment des faits ; que M. Didier C... a ainsi expliqué que le réseau bureautique du CEES était repris en charge pour fusionner avec celui de l'ENA de 2006 à novembre 2007 ; qu'il a précisé que les caractéristiques de ce réseau avaient permis que le document classé dans le répertoire de Mme B... était potentiellement visible par d'autres agents du centre et que seule la nouvelle organisation mise en place et achevée le 14 novembre 2007 a rendu les répertoires personnels accessibles uniquement à leurs propriétaires ; qu'ainsi, il est acquis que les règles d'accessibilité aux : répertoires informatiques ne relevaient pas de la responsabilité et de l'autorité du directeur du CEES, entité devenue une direction de l'ENA dès le 18 avril 2005 alors que M. D... a pris ses fonctions à Strasbourg le 9 février 2006 ; qu'il ne peut, à ce titre, être considéré comme le responsable du traitement des données d'un système préexistant à sa nomination ; qu'il sera d'ailleurs relevé que dans les déclarations précédemment effectuées à la CNIL en 1996 et 1999, le responsable du traitement désignée était "l'Ecole Nationale d'Administration" ; qu'ainsi il n'existe aucune charge contre M. D... d'avoir commis l'infraction prévue et réprimée par l'article 226-17 du code pénal ;
 
 "1°) alors que, est réprimé pénalement le fait, y compris par négligence, de procéder ou de faire procéder à un traitement de données à caractère personnel sans qu'aient été respectées les formalités préalables prévues par la loi susvisée ; que l'article 2 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés prévoit que constitue un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction ; que seuls les traitements non automatisés de données personnelles doivent en outre faire l'objet d'une insertion dans un fichier établi selon des critères déterminés pour entrer dans le champ d'application de ladite loi ;