Infractions au Code pénal, au Code de commerce ou au Code de l'environnement, Procédure pénale

Droit pénal des affaires

L’article R. 625-10 du Code pénal énumère un ensemble d’hypothèses qui, lorsqu’elles font l’objet d’un traitement automatisé, doivent être portées à la connaissance des personnes concernées, par le responsable du traitement et réprime le non-respect de cette obligation d’information. Le responsable d'un traitement de données à caractère personnel est en principe la personne, l'autorité publique, l …

Manquement à l’obligation d’informer les personnes

L’article R. 625-10 du Code pénal énumère un ensemble d’hypothèses qui, lorsqu’elles font l’objet d’un traitement automatisé, doivent être portées à la connaissance des personnes concernées, par le responsable du traitement et réprime le non-respect de cette obligation d’information. Le responsable d'un traitement de données à caractère personnel est en principe la personne, l'autorité publique, la société ou l'organisme qui détermine les finalités et les moyens de ce fichier, qui décide de sa création. En pratique, il s'agit généralement de la personne morale (entreprise, collectivité, etc.) incarnée par son représentant légal (président, maire, etc.) .

Le non-respect de l’obligation d’information des personnes concernées, tel que prévu et réprimé par l’article R. 625-10 peut revêtir différentes formes :

- Le fait de ne pas informer la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant :

o De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ;

o De la finalité poursuivie par le traitement auquel les données sont destinées ;

o Du caractère obligatoire ou facultatif des réponses ;

o Des conséquences éventuelles, à son égard, d'un défaut de réponse ;

o Des destinataires ou catégories de destinataires des données ;

o De ses droits d'opposition, d'interrogation, d'accès et de rectification ;

o Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat n'appartenant pas à l'Union européenne ;

- Lorsque les données sont recueillies par voie de questionnaire, de ne pas porter sur le questionnaire les informations relatives :

o A l'identité du responsable du traitement et, le cas échéant, à celle de son représentant ;

o A la finalité poursuivie par le traitement auquel les données sont destinées ;

o Au caractère obligatoire ou facultatif des réponses ;

o Aux droits d'opposition, d'interrogation, d'accès et de rectification des personnes auprès desquelles sont recueillies les données ;

- Le fait de ne pas informer de manière claire et précise toute personne utilisatrice des réseaux de communications électroniques :

o De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations stockées dans son équipement terminal de connexion ou à inscrire, par la même voie, des informations dans son équipement terminal de connexion ;

o Des moyens dont elle dispose pour s'y opposer ;

- Le fait de ne pas fournir à la personne concernée, lorsque les données à caractère personnel n'ont pas été recueillies auprès d'elle, les informations énumérées au 1° et au 2° dès l'enregistrement des données ou, si une communication des données à des tiers est envisagée, au plus tard lors de la première communication des données.

Est puni de la même peine le fait de ne pas fournir l'une des informations mentionnées à l'article 104 (informations que le responsable de traitement doit mettre à la disposition de la personne concernée) de la loi 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ou aux articles 13 (Informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée) et 14 (Informations à fournir lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée) du RGPD.

En matière de contravention il suffit, en principe, pour l'application de la loi pénale, que le fait punissable soit matériellement constaté .

L’information délivrée par la société qui met en œuvre le traitement des données doit permettre à l’utilisateur de donner son consentement à ce traitement de manière spécifique, éclairé et univoque . L’expression de ce consentement n’est pas valable s’il doit accepter en bloc l’ensemble des traitements , les différentes finalités de ces traitements devant lui être présentées de manière distincte au préalable .

L’information doit être donnée directement à la personne concernée, ce qui n’est pas le cas lorsqu’un traceur est intégré à une application sur le mobile lors d’une mise à jour, sans que les nouvelles conditions générales d’utilisation en politiques de vie privée soient directement portées à la connaissance du mobinaute .

L’information doit préciser les finalités du traitement, notamment l’installation de cookies, et le droit dont dispose les personnes concernées. Ainsi, un formulaire de création de compte doit, pour respecter les prescriptions de l’article 32 de la loi de 1978, contenir ces informations . Lorsqu’elle remplit ce formulaire, la personne concernée par la collecte de données personnes doit être mise à même d’apprécier la portée de son action. L’information est incomplète lorsqu’il n’est pas porté à sa connaissance qu’en cochant une case relative à l’abonnement à la lettre d’information, elle recevra d’autres lettres d’information de partenaires  ou lorsque le formulaire ne comprend qu’une mention partielle du traitement . De même, il ne peut être procédé au dépôt de cookies sur le terminal de l’utilisateur sans l’en informer au préalable et recueillir son consentement à ce dépôt .

Enfin, une société, qui met en place un système de vidéosurveillance dont la finalité va au-delà de la sécurité des tiers et des personnes, manque à son obligation de fournir à la personne auprès de laquelle sont recueillies les données personnelles les informations sur l’identité du responsable du traitement, sa finalité, ses destinataires, leurs droits d’accès ou d’opposition .

On voit que la finalité de l’information délivrée est primordiale : elle doit être visible, mise en évidence et complète afin de ne permettre de définir une finalité déterminée, explicite et légitime du traitement. 

Information disponible sur le site de la CNIL, rubrique « le « responsable de traitement », c’est qui ? ».

Cass. crim., 16 novembre 1976, LawLex202200003600JBJ.

CNIL, 16 décembre 2011, LawLex202200003566JBJ.

CNIL, 24 juin 2015, LawLex202200003562JBJ.

CNIL, 21 janvier 2019, LawLex201900000259JBJ.

CNIL, 25 juin 2018, LawLex202200003576JBJ ; rappr. CNIL, 8 février 2018, LawLex202200001716JBJ.

CNIL, 27 novembre 2017, LawLex202200003569JBJ ; 24 juin 2015, LawLex202200003570JBJ ; 15 janvier 2014, LawLex202200003573JBJ.

CNIL, 13 octobre 2014, LawLex202200003568JBJ.

CNIL, 24 juin 2015, LawLex202200003570JBJ.

Droit pénal des affaires

45. Manquement à l’obligation d’informer les personnes

Profitez de 15 jours offerts
et accédez à tous les contenus Livv

Les décisions de justice citées dans ce paragraphe :

Les notions juridiques connexes

45. Manquement à l’obligation d’informer les personnes

Profitez de 15 jours offerts et accédez à tous les contenus Livv

Les décisions de justice citées dans ce paragraphe :

Les notions juridiques connexes

Profitez de 15 jours offerts
et accédez à tous les contenus Livv