Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 138

doctrine

Données personnelles

Un traitement d'une seule
donnée ?
La création d'un fichier comportant deux notes
d'évaluation sur une seule personne et rendu
accessible sur un intranet, constitue un traitement
de données à caractère personnel soumis au respect
des formalités préalables.

L

'arrêt de la chambre criminelle
de la Cour de cassation en date
du 8 septembre 2015 (M.L.X /
F-P+B) précise ainsi la portée de
l'article 226-16 du code pénal sanctionnant le défaut de déclaration d'un traitement. Deux notes d'évaluation rédigées par un responsable d'une grande
école(1) qui faisaient état d'appréciations personnelles sur le travail d'un
de ses subordonnés, ont été rendues
accessibles de manière involontaire,
sur le réseau intranet de l'école. L'agent
concerné par les notes a alors porté
plainte et s'est constitué partie civile du
chef de traitement de données à caractère personnel sans autorisation.
La chambre de l'instruction de la cour
d'appel de Colmar a confirmé l'ordonnance de non-lieu rendue par le
juge d'instruction, estimant en premier
lieu « qu'en deçà d'un certain seuil de
données traitées, la mise en œuvre de
fonctionnalités simples, tel un traitement de texte, pour mettre en forme
des données personnelles ou un document leur servant de support, ne peut
être considérée comme un traitement
de données personnelles au sens de
la loi de 1978 », et en second lieu « qu'il
n'existe pas de preuve matérielle qui
permette d'établir que les documents
aient été laissés à la portée de tous de
manière volontaire ».
Le demandeur a alors formé un pourvoi en cassation, aux motifs que la loi
n'exige aucun seuil à atteindre quant
à la constitution d'un traitement, que ce

138

dernier aurait alors dû être déclaré à
la Commission nationale de l'informatique et des libertés(2) conformément aux
dispositions de l'article 226-16 du code
pénal, qu'enfin, l'anomalie générale
dans le réseau ne peut s'apparenter à
de la force majeure, seule manière de
se disculper du délit de mise en œuvre
d'un traitement de données à caractère
personnel sans autorisation. Par un
arrêt rendu le 8 septembre 2015, la Cour
de cassation a censuré la cour d'appel
de Colmar et estimé que l'article 226-16
du code pénal, interprété à la lumière
de la loi du 6 janvier 1978, n'exigeait
pas le franchissement d'un seuil de
données ou de fichiers pour qu'un traitement soit constitué et soumis à l'obligation de déclaration. Ainsi la création
d'un fichier informatique comportant
deux notes d'évaluation sur une seule
personne et rendu accessible sur un
intranet, constitue un traitement de
données à caractère personnel au sens
de la loi « Informatique et libertés » de
1978 modifiée.

L'EXISTENCE D'UN SEUIL DE
DONNÉES OU FICHIERS : UNE
CONDITION AJOUTÉE À LA
LOI PAR LA COUR D'APPEL
Définition de la notion de « traitement » au sens de l'article 2
de la loi n° 78-17 du 6 janvier
1978 modifiée
La notion de « traitement » au sens de
l'article 2 de la loi n° 78-17 du 6 janvier 1978
modifiée est d'interprétation large,

EXPERTISES AVRIL 2016

comme l'a souhaité le législateur
en 2004 qui a modifié la loi de 1978.
En effet, la notion de traitement, qui
reprend l'ancien article 5 de la loi de
1978 souligne que constitue un traitement de données « toute opération
ou ensemble d'opérations effectuées
ou non à l'aide de procédés automatisés et appliquées à des données
à caractère personnel, telles que la
collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou
la modification, l'extraction, la consultation, l'utilisation, la communication
par transmission, diffusion ou toute
autre forme de mise à disposition, le
rapprochement ou l'interconnexion,
ainsi que le verrouillage, l'effacement
ou la destruction » portant sur de telles
données quel que soit le procédé technique utilisé.
De tels traitements peuvent donc résulter
de l'utilisation d'un outil informatique ou
encore de la diffusion de données sur un
réseau. Ainsi, la loi s'applique aussi bien
aux traitements automatisés de données
à caractère personnel (comme en l'espèce), qu'aux traitements non automatisés de données à caractère personnel
contenues ou appelées à figurer dans
des fichiers(3) non informatiques.
La jurisprudence est rare en la matière,
si bien qu'il est difficile de définir les
contours jurisprudentiels de la notion de
traitement. Il a toutefois déjà été admis
que constitue un traitement de données
à caractère personnel le fait de mettre
en ligne des données personnelles ne
concernant qu'une seule personne(4).
Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412
