Source: https://www.nxtbook.fr/newpress/celog/celog-expertises-1604_412/index.php?startid=139
Timestamp: 2019-06-18 00:46:56+00:00
Document Index: 269475675

Matched Legal Cases: ["l'article 226", "l'article 226", "l'article 2", "l'article 2", 'arrêt ', "l'article\n226", "l'article 226"]

Une fois qu'un traitement est constitué
au sens de la loi, encore faut-il effectuer
les formalités préalables auprès de la
Cnil, conformément aux dispositions de
la loi(5). Dans le cas contraire, le responsable de traitement encourt une peine de
cinq ans d'emprisonnement et 300 000 €
d'amende (article 226-16 du code pénal).
C'est en réalité le défaut de respect de
ces formalités préalables qui concentre
l'objet du litige présent.
Une décision d'appel allant à
l'encontre de l'esprit de la loi de
En l'espèce, il est rappelé que le responsable d'une grande école avait rédigé
deux notes contenant des appréciations
personnelles sur le travail fourni par
l'un de ses subordonnés. Ces appréciations ont été enregistrées dans un
répertoire informatique rendu accessible à tout le personnel sur l'intranet de
l'établissement. L'agent concerné par les
notes avait alors porté plainte et s'était
constitué partie civile du chef de traitement de données à caractère personnel sans autorisation, comme l'impose
pourtant l'article 226-16 du code pénal
qui dispose que : « Le fait, y compris
par négligence, de procéder ou de faire
procéder à des traitements de données
à caractère personnel sans qu'aient été
respectées les formalités préalables à
leur mise en œuvre prévues par la loi
est puni de cinq ans d'emprisonnement
et de 300 000 euros d'amende ».
Ainsi, il convenait de déterminer si le
prévenu avait accompli un traitement de
données à caractère personnel soumis
au respect des formalités préalables au
sens de la loi du 6 janvier 1978 modifiée,
et si le caractère volontaire ou non de la
diffusion des informations était déterminant sur la qualification du délit de l'article 226-16 du code pénal.
La présence de données à caractère
personnel au sens de l'article 2 ne posait
pas de difficultés en l'espèce, dans la
mesure où la notion est entendue de
manière très large. Les notes litigieuses
mettaient clairement en évidence l'identité de l'agent concerné par les appréciations personnelles, de sorte que ces
dernières constituaient des données
personnelles. Les données concernées
se trouvaient dans un répertoire informatique rendu accessible sur l'intranet
de l'école, à tout le personnel.
Ainsi, des informations personnelles
concernant un agent étaient diffusées
via l'intranet de l'établissement de sorte
qu'il y avait bien un traitement au sens
de l'article 2 de la loi.
L'arrêt de la chambre d'instruction
visant à relaxer le prévenu en ce que le
traitement de données n'avait concerné
qu'une seule personne, entre en contradiction avec l'esprit de la loi de 2004
qui appréhende la notion de traitement
de manière très large. La cour d'appel avait en effet estimé « qu'en deçà
d'un certain seuil de données traitées,
simples, tel un traitement de texte, pour
mettre en forme des données personnelles ou un document leur servant de
support, ne peut être considérée comme
au sens de la loi de 1978 ».
En statuant ainsi, la cour d'appel a ajouté une condition à la loi tenant au seuil
minimal en-dessous duquel un traitement ne peut être constitué, ce qui justifiait la cassation.
Dans sa défense, le prévenu invoquait
le défaut de caractère volontaire du
traitement : il avait affirmé que le fichier
informatique n'avait pour but que de
procéder aux évaluations lui incombant
en qualité de supérieur hiérarchique
pour les adresser au directeur de l'Etablissement. Il admettait que ces données
étaient insuffisamment sécurisées, mais
démentait avoir voulu créer un fichier
de données personnelles relevant du
régime de formalités préalables.
La cour d'appel avait estimé en ce
sens « qu'il n'existe pas de preuve matérielle qui permette d'établir que les
documents aient été laissés à la portée
de tous de manière volontaire ». Pour
elle, l'infraction résultant de l'article
226-16 du code pénal n'était donc pas
La cour d'appel en statuant comme
elle l'a fait, a certainement voulu tenir
compte du fait que le responsable de
traitement a souvent peu conscience de
à caractère personnel, qui est souvent
accessoire à la finalité principale du
traitement concerné. En l'espèce, le
traitement concernait les appréciations
personnelles d'un unique agent et n'était
pas destiné à être accessible à tous.
LARGE DE LA NOTION
DE « TRAITEMENT »
Le prévenu ne peut s'exonérer
de sa responsabilité pénale
en raison du faible nombre
d'appel a retenu que ne constituait pas
un répertoire informatique comportant
deux notes nominatives. En cassant
la décision d'appel, la Cour de cassation a rappelé que les traitements de
données à caractère personnel doivent
être déclarés à la Cnil, peu important le
faible nombre de données concernées
puisque « loi n'exige pas le franchissement d'un seuil de données ou de
fichiers ». Ainsi est constituée l'infraction pénale de mise en œuvre traitement
de données à caractère personnel sans
En conséquence, que le nombre de
données personnelles ou que le nombre
de personnes concernées soit limités
importe peu, le traitement sera constitué et ce, même si le fichier en cause
est un simple fichier texte lisible par un
traitement de texte. Les notes d'évaluation en l'espèce concernaient bien une
personne physique et contenaient bien
des données personnelles rendues
accessibles à l'ensemble du personnel,
de sorte que le délit était constitué pour
non-respect des formalités préalables. Il
est rappelé que la collecte de données
relatives à la gestion du personnel doit
être déclarée à la Commission nationale de l'informatique et des libertés(6).
Il convient de préciser que la chambre
criminelle ne s'est pas prononcée sur
l'argument de la cour d'appel qui
consistait à dire que rien ne permettait
d'établir « que ces documents aient été
laissés à la portée de tous de manière
volontaire » par le directeur de l'établissement. Cet oubli, à supposer qu'il en
soit un, apparaît logique dans la mesure
où l'article 226-16 du code pénal sanctionne « le fait, y compris par négligence,
de procéder ou de faire procéder » aux
actes concernés. L'absence de caractère
volontaire de la diffusion des notes en
question ne suffit donc pas à aboutir à