Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 139

Une fois qu'un traitement est constitué
au sens de la loi, encore faut-il effectuer
les formalités préalables auprès de la
Cnil, conformément aux dispositions de
la loi(5). Dans le cas contraire, le responsable de traitement encourt une peine de
cinq ans d'emprisonnement et 300 000 €
d'amende (article 226-16 du code pénal).
C'est en réalité le défaut de respect de
ces formalités préalables qui concentre
l'objet du litige présent.

Une décision d'appel allant à
l'encontre de l'esprit de la loi de
1978 modifiée
En l'espèce, il est rappelé que le responsable d'une grande école avait rédigé
deux notes contenant des appréciations
personnelles sur le travail fourni par
l'un de ses subordonnés. Ces appréciations ont été enregistrées dans un
répertoire informatique rendu accessible à tout le personnel sur l'intranet de
l'établissement. L'agent concerné par les
notes avait alors porté plainte et s'était
constitué partie civile du chef de traitement de données à caractère personnel sans autorisation, comme l'impose
pourtant l'article 226-16 du code pénal
qui dispose que : « Le fait, y compris
par négligence, de procéder ou de faire
procéder à des traitements de données
à caractère personnel sans qu'aient été
respectées les formalités préalables à
leur mise en œuvre prévues par la loi
est puni de cinq ans d'emprisonnement
et de 300 000 euros d'amende ».
Ainsi, il convenait de déterminer si le
prévenu avait accompli un traitement de
données à caractère personnel soumis
au respect des formalités préalables au
sens de la loi du 6 janvier 1978 modifiée,
et si le caractère volontaire ou non de la
diffusion des informations était déterminant sur la qualification du délit de l'article 226-16 du code pénal.
La présence de données à caractère
personnel au sens de l'article 2 ne posait
pas de difficultés en l'espèce, dans la
mesure où la notion est entendue de
manière très large. Les notes litigieuses
mettaient clairement en évidence l'identité de l'agent concerné par les appréciations personnelles, de sorte que ces
dernières constituaient des données
personnelles. Les données concernées
se trouvaient dans un répertoire informatique rendu accessible sur l'intranet
de l'école, à tout le personnel.

Ainsi, des informations personnelles
concernant un agent étaient diffusées
via l'intranet de l'établissement de sorte
qu'il y avait bien un traitement au sens
de l'article 2 de la loi.
L'arrêt de la chambre d'instruction
visant à relaxer le prévenu en ce que le
traitement de données n'avait concerné
qu'une seule personne, entre en contradiction avec l'esprit de la loi de 2004
qui appréhende la notion de traitement
de manière très large. La cour d'appel avait en effet estimé « qu'en deçà
d'un certain seuil de données traitées,
la mise en œuvre de fonctionnalités
simples, tel un traitement de texte, pour
mettre en forme des données personnelles ou un document leur servant de
support, ne peut être considérée comme
un traitement de données personnelles
au sens de la loi de 1978 ».
En statuant ainsi, la cour d'appel a ajouté une condition à la loi tenant au seuil
minimal en-dessous duquel un traitement ne peut être constitué, ce qui justifiait la cassation.
Dans sa défense, le prévenu invoquait
le défaut de caractère volontaire du
traitement : il avait affirmé que le fichier
informatique n'avait pour but que de
procéder aux évaluations lui incombant
en qualité de supérieur hiérarchique
pour les adresser au directeur de l'Etablissement. Il admettait que ces données
étaient insuffisamment sécurisées, mais
démentait avoir voulu créer un fichier
de données personnelles relevant du
régime de formalités préalables.
La cour d'appel avait estimé en ce
sens « qu'il n'existe pas de preuve matérielle qui permette d'établir que les
documents aient été laissés à la portée
de tous de manière volontaire ». Pour
elle, l'infraction résultant de l'article
226-16 du code pénal n'était donc pas
constituée.
La cour d'appel en statuant comme
elle l'a fait, a certainement voulu tenir
compte du fait que le responsable de
traitement a souvent peu conscience de
procéder à un traitement de données
à caractère personnel, qui est souvent
accessoire à la finalité principale du
traitement concerné. En l'espèce, le
traitement concernait les appréciations
personnelles d'un unique agent et n'était
pas destiné à être accessible à tous.

EXPERTISES AVRIL 2016

UNE CONCEPTION
LARGE DE LA NOTION
DE « TRAITEMENT »
Le prévenu ne peut s'exonérer
de sa responsabilité pénale
en raison du faible nombre
de données
La chambre de l'instruction de la cour
d'appel a retenu que ne constituait pas
un traitement de données personnelles
un répertoire informatique comportant
deux notes nominatives. En cassant
la décision d'appel, la Cour de cassation a rappelé que les traitements de
données à caractère personnel doivent
être déclarés à la Cnil, peu important le
faible nombre de données concernées
puisque « loi n'exige pas le franchissement d'un seuil de données ou de
fichiers ». Ainsi est constituée l'infraction pénale de mise en œuvre traitement
de données à caractère personnel sans
autorisation.
En conséquence, que le nombre de
données personnelles ou que le nombre
de personnes concernées soit limités
importe peu, le traitement sera constitué et ce, même si le fichier en cause
est un simple fichier texte lisible par un
traitement de texte. Les notes d'évaluation en l'espèce concernaient bien une
personne physique et contenaient bien
des données personnelles rendues
accessibles à l'ensemble du personnel,
de sorte que le délit était constitué pour
non-respect des formalités préalables. Il
est rappelé que la collecte de données
relatives à la gestion du personnel doit
être déclarée à la Commission nationale de l'informatique et des libertés(6).
Il convient de préciser que la chambre
criminelle ne s'est pas prononcée sur
l'argument de la cour d'appel qui
consistait à dire que rien ne permettait
d'établir « que ces documents aient été
laissés à la portée de tous de manière
volontaire » par le directeur de l'établissement. Cet oubli, à supposer qu'il en
soit un, apparaît logique dans la mesure
où l'article 226-16 du code pénal sanctionne « le fait, y compris par négligence,
de procéder ou de faire procéder » aux
actes concernés. L'absence de caractère
volontaire de la diffusion des notes en
question ne suffit donc pas à aboutir à
une relaxe.

139



Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412

Couverture
Sommaire
MAGAZINE - LOGICIELS PUBLICS : ACCÈS AUX CODES SOURCES SOUS CONTRÔLE Par Sylvie ROZENFELD
INTERVIEW - DOMINIC JENSEN L’E-TRANSFORMATION DE L’ACCÈS AU DROIT Par Sylvie ROZENFELD
DOCTRINE
VIE PRIVÉE PRIVACY SHIELD : UNE AVANCÉE ET UN TEST POUR L’UNITÉ DE L’EUROPE Par Benjamin MAY
MÉDIATION DE NOUVELLES OBLIGATIONS POUR LES CYBERMARCHANDS Par Laure BAËTÉ et Sadry PORLON
CONTENTIEUX INFORMATIQUE DE LA SAISIE À LA PERQUISITION CIVILE Par Maroussia NETTER-ADLER
DONNÉES PERSONNELLES UN TRAITEMENT D’UNE SEULE DONNÉE ? Par Jérôme DEBRAS
RÉSEAUX SOCIAUX FACEBOOK ET L’ORIGINE DU MONDE Par Damien CHALLAMEL
DONNÉES PERSONNELLES RECHERCHES ET ÉVALUATION EN SANTÉ Par Thomas ROCHE
JURISPRUDENCE
IBM FRANCE / CSC COMPUTER SCIENCES Cour d’appel de Versailles, 14e chambre, arrêt contradictoire du 19 novembre 2015
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - Couverture
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - Sommaire
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - MAGAZINE - LOGICIELS PUBLICS : ACCÈS AUX CODES SOURCES SOUS CONTRÔLE Par Sylvie ROZENFELD
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 120
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 121
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 122
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 123
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - INTERVIEW - DOMINIC JENSEN L’E-TRANSFORMATION DE L’ACCÈS AU DROIT Par Sylvie ROZENFELD
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 125
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 126
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 127
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 128
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - VIE PRIVÉE PRIVACY SHIELD : UNE AVANCÉE ET UN TEST POUR L’UNITÉ DE L’EUROPE Par Benjamin MAY
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 130
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 131
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - MÉDIATION DE NOUVELLES OBLIGATIONS POUR LES CYBERMARCHANDS Par Laure BAËTÉ et Sadry PORLON
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 133
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 134
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 135
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - CONTENTIEUX INFORMATIQUE DE LA SAISIE À LA PERQUISITION CIVILE Par Maroussia NETTER-ADLER
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 137
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - DONNÉES PERSONNELLES UN TRAITEMENT D’UNE SEULE DONNÉE ? Par Jérôme DEBRAS
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 139
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 140
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - RÉSEAUX SOCIAUX FACEBOOK ET L’ORIGINE DU MONDE Par Damien CHALLAMEL
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 142
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 143
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 144
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 145
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - DONNÉES PERSONNELLES RECHERCHES ET ÉVALUATION EN SANTÉ Par Thomas ROCHE
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 147
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 148
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - IBM FRANCE / CSC COMPUTER SCIENCES Cour d’appel de Versailles, 14e chambre, arrêt contradictoire du 19 novembre 2015
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 150
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 151
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 152
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 153
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 154
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 155
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 156
https://www.nxtbook.fr/newpress/celog/celog-expertises-2210_483
https://www.nxtbook.fr/newpress/celog/celog-expertises-2209_482
https://www.nxtbook.fr/newpress/celog/celog-expertises-2207_481
https://www.nxtbook.fr/newpress/celog/celog-expertises-2206_480
https://www.nxtbook.fr/newpress/celog/celog-expertises-2205_479
https://www.nxtbook.fr/newpress/celog/celog-expertises-2204_478
https://www.nxtbook.fr/newpress/celog/celog-expertises-2203_477
https://www.nxtbook.fr/newpress/celog/celog-expertises-2202_476
https://www.nxtbook.fr/newpress/celog/celog-expertises-2201_475
https://www.nxtbook.fr/newpress/celog/celog-expertises-2112_474
https://www.nxtbook.fr/newpress/celog/celog-expertises-2111_473
https://www.nxtbook.fr/newpress/celog/celog-expertises-2110_472
https://www.nxtbook.fr/newpress/celog/celog-expertises-2109_471
https://www.nxtbook.fr/newpress/celog/celog-expertises-2107_470
https://www.nxtbook.fr/newpress/celog/celog-expertises-2106_469
https://www.nxtbook.fr/newpress/celog/celog-expertises-2105_468
https://www.nxtbook.fr/newpress/celog/celog-expertises-2104_467
https://www.nxtbook.fr/newpress/celog/celog-expertises-2103_466
https://www.nxtbook.fr/newpress/celog/celog-expertises-2102_465
https://www.nxtbook.fr/newpress/celog/celog-expertises-2101_464
https://www.nxtbook.fr/newpress/celog/celog-expertises-2012_463
https://www.nxtbook.fr/newpress/celog/celog-expertises-2011_462
https://www.nxtbook.fr/newpress/celog/celog-expertises-2010_461
https://www.nxtbook.fr/newpress/celog/celog-expertises-2009_460
https://www.nxtbook.fr/newpress/celog/celog-expertises-2007_459
https://www.nxtbook.fr/newpress/celog/celog-expertises-2006_458
https://www.nxtbook.fr/newpress/celog/celog-expertises-2005_457
https://www.nxtbook.fr/newpress/celog/celog-expertises-2004_456
https://www.nxtbook.fr/newpress/celog/celog-expertises-2003_455
https://www.nxtbook.fr/newpress/celog/celog-expertises-2002_454
https://www.nxtbook.fr/newpress/celog/celog-expertises-2001_453
https://www.nxtbook.fr/newpress/celog/celog-expertises-1912_452
https://www.nxtbook.fr/newpress/celog/celog-expertises-1911_451
https://www.nxtbook.fr/newpress/celog/celog-expertises-1910_450
https://www.nxtbook.fr/newpress/celog/celog-expertises-1909_449
https://www.nxtbook.fr/newpress/celog/celog-expertises-1907_448
https://www.nxtbook.fr/newpress/celog/celog-expertises-1906_447
https://www.nxtbook.fr/newpress/celog/celog-expertises-1905_446
https://www.nxtbook.fr/newpress/celog/celog-expertises-1904_445
https://www.nxtbook.fr/newpress/celog/celog-expertises-1903_444
https://www.nxtbook.fr/newpress/celog/celog-expertises-1902_443
https://www.nxtbook.fr/newpress/celog/celog-expertises-1901_442
https://www.nxtbook.fr/newpress/celog/celog-expertises-1812_441
https://www.nxtbook.fr/newpress/celog/celog-expertises-1811_440
https://www.nxtbook.fr/newpress/celog/celog-expertises-1810_439
https://www.nxtbook.fr/newpress/celog/celog-expertises-1809_438
https://www.nxtbook.fr/newpress/celog/celog-expertises-1807_437
https://www.nxtbook.fr/newpress/celog/celog-expertises-1806_436
https://www.nxtbook.fr/newpress/celog/celog-expertises-1805_435
https://www.nxtbook.fr/newpress/celog/celog-expertises-1804_434
https://www.nxtbook.fr/newpress/celog/celog-expertises-1803_433
https://www.nxtbook.fr/newpress/celog/celog-expertises-1802_432
https://www.nxtbook.fr/newpress/celog/celog-expertises-1801_431
https://www.nxtbook.fr/newpress/celog/celog-expertises-1712_430
https://www.nxtbook.fr/newpress/celog/celog-expertises-1711_429
https://www.nxtbook.fr/newpress/celog/celog-expertises-1710_428
https://www.nxtbook.fr/newpress/celog/celog-expertises-1709_427
https://www.nxtbook.fr/newpress/celog/celog-expertises-1707_426
https://www.nxtbook.fr/newpress/celog/celog-expertises-1706_425
https://www.nxtbook.fr/newpress/celog/celog-expertises-1705_424
https://www.nxtbook.fr/newpress/celog/celog-expertises-1704_423
https://www.nxtbook.fr/newpress/celog/celog-expertises-1703_422
https://www.nxtbook.fr/newpress/celog/celog-expertises-1702_421
https://www.nxtbook.fr/newpress/celog/celog-expertises-1701_420
https://www.nxtbook.fr/newpress/celog/celog-expertises-1612_419
https://www.nxtbook.fr/newpress/celog/celog-expertises-1611_418
https://www.nxtbook.fr/newpress/celog/celog-expertises-1610_417
https://www.nxtbook.fr/newpress/celog/celog-expertises-1609_416
https://www.nxtbook.fr/newpress/celog/celog-expertises-1607_415
https://www.nxtbook.fr/newpress/celog/celog-expertises-1606_414
https://www.nxtbook.fr/newpress/celog/celog-expertises-1605_413
https://www.nxtbook.fr/newpress/celog/celog-expertises-1604_412
https://www.nxtbook.fr/newpress/celog/celog-expertises-1603_411
https://www.nxtbook.fr/newpress/celog/celog-expertises-1602_410
https://www.nxtbook.fr/newpress/celog/celog-expertises-1601_409
https://www.nxtbook.fr/newpress/celog/celog-expertises-1512_408
https://www.nxtbook.fr/newpress/celog/celog-expertises-1511_407
https://www.nxtbook.fr/newpress/celog/celog-expertises-1510_406
https://www.nxtbook.fr/newpress/celog/celog-expertises-1509_405
https://www.nxtbook.fr/newpress/celog/celog-expertises-1507_404
https://www.nxtbook.fr/newpress/celog/celog-expertises-1506_403
https://www.nxtbook.fr/newpress/celog/celog-expertises-1502_399
https://www.nxtbookmedia.com