décision 16-84.096 du 23/05/2018,  partie 4


que les juges en déduisent l'absence de caractérisation d'un traitement automatisé de données à caractère personnel, dont il ne pouvait résulter aucune obligation de déclaration selon les modalités prévues à l'article 22 de la loi du 6 janvier 1978, seul susceptible de s'appliquer à ce type de données à l'exclusion de tout régime d'autorisation ;
 
 Mais attendu qu'en statuant ainsi, alors que, d'une part, en subordonnant les formalités préalables à la mise en oeuvre de traitement de données à caractère personnel à la réalisation d'opérations d'une technicité spécifique, les juges ont ajouté à l'article 226-16 du code pénal une condition qu'il ne prévoit pas, d'autre part, il leur appartenait de rechercher si un tel traitement de données, compte tenu de sa finalité de gestion du personnel, correspondait à l'obligation de déclaration instituée à l'article 22 de la loi du 6 janvier 1978, ou, le cas échéant, à une des normes destinées à simplifier l'obligation de déclaration, telles que visées à l'article 24 de ladite loi, auquel renvoie la norme n°46 édictée par la CNIL selon la délibération n° 2005-002 du 13 janvier 2005 modifiée, la chambre de l'instruction a méconnu les textes susvisés et les principes ci-dessus rappelés ;
 
 D'où il suit que la cassation est encourue ;
 
 Et sur le second moyen de cassation, pris de la violation des articles 121-1, 121-2, 121-4, 226-27 du code pénal, 34 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, 177, 201, 204, 591 et 593 du code de procédure pénale ;
 
 "en ce que l'arrêt attaqué a dit qu'il n'y avait pas lieu à suivre sur la procédure ouverte à la suite de la plainte avec constitution de partie civile de M. Y... ;
 
 "aux motifs que sur l'application de l'article 226-17 du code pénal et la violation de l'obligation de mise en oeuvre des mesures prescrites par l'article 34 de la loi du 6 janvier 1978, qu'il incombe au responsable du traitement de prendre toutes précautions utiles   pour préserver la sécurité des données et notamment   empêcher que des tiers non autorises y aient accès (article 24 de la loi du 6 janvier 1978) ; que cette disposition ne fait aucune distinction selon que le traitement est automatisé ou non ; qu'il résulte de la procédure que le CEES et l'ENA avaient un ingénieur informatique unique occupant les fonctions de chef du service informatique au moment des faits ; que M. Didier C... a ainsi expliqué que le réseau bureautique du CEES était repris en charge pour fusionner avec celui de l'ENA de 2006 à novembre 2007 ; qu'il a précisé que les caractéristiques de ce réseau avaient permis que le document classé dans le répertoire de Mme B... était potentiellement visible par d'autres agents du centre et que seule la nouvelle organisation mise en place et achevée le 14 novembre 2007 a rendu les répertoires personnels accessibles uniquement à leurs propriétaires ; qu'ainsi, il est acquis que les règles d'accessibilité aux répertoires informatiques ne relevaient pas de la responsabilité et de l'autorité du directeur du CEES, entité devenue une direction de l'ENA dés le 18 avril 2005 alors que M. D... a pris ses fonctions à Strasbourg le 9 février 2006 ; qu'il ne peut, à ce titre, être considéré comme le responsable du traitement des données d'un système préexistant â sa nomination ; qu'il sera d'ailleurs relevé que dans les déclarations précédemment effectuées à la CNIL en 1996 et 1999, le responsable du traitement désignée était "l'Ecole Nationale d'Administration" ; qu'ainsi il n'existe aucune charge contre M. D... d'avoir commis l'infraction prévue et réprimée par l'article 226-17 du code pénal ;
 
 "1°) alors que constitue le délit réprimé par l'article 226-27 du code pénal, le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites à l'article 34 de la loi n° 78-17 du 6 janvier 1978, notamment celle destinées à assurer la confidentialité des données traitées ; que le responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens ; que, pour estimer que le mis en examen qui avait fait rédiger les deux notes d'évaluation de la partie civile qui avait été enregistré dans le répertoire informatique de sa secrétaire et auquel les autres agents du centre avaient pu avoir accès, n'était pas le responsable du traitement et comme tel ne pouvait se voir imputer le délit, la chambre de l'instruction a relevé qu'il n'était pas à l'origine de l'organisation du système informatique du CEES qui existait avant son arrivée et que ce système relevait de la seule responsabilité du service informatique de l'ENA ;