Infractions au Code pénal, au Code de commerce ou au Code de l'environnement, Procédure pénale

Droit pénal des affaires

En vertu de l’article 226-16, alinéa 1, du Code pénal, le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu'aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni de cinq ans d'emprisonnement et de 300 000 euro d'amende. L’alinéa 2 punit des mêmes peines le fait, y compris par néglige …

Infraction matérielle

Les formalités préalables visent un ensemble de formalités déclaratives à effectuer auprès de la CNIL avant la mise en œuvre d’un traitement de données personnelles. En fonction du traitement, il s’agira d’une déclaration ou d’une demande d’autorisation. Elles figurent aux articles 31 à 36 de la loi Informatique et Libertés. Elles ont été allégées par le RGPD qui en contrepartie oblige le responsable de traitement à être en mesure d’établir à tout moment la conformité aux règles du RGPD, notamment en matière de traçabilité des démarches (principe d’accountability).

Le fait, y compris par négligence, de procéder à un traitement de données à caractère personnel sans respecter les formalités préalables prévues par la loi du 6 janvier 1978 est réprimé pénalement, sans que soit exigé le franchissement d’un seuil de données ou de fichiers. En effet, peut constituer un fichier de données personnelles un répertoire comportant deux notes nominatives . Le traitement automatisé peut prendre différentes formes. Ainsi, la mise en ligne du nom d’une personne au sein du contenu rédactionnel d’un site Web caractérise un traitement automatisé de données nominatives au sens de la loi Informatique et Libertés . De même, le fait de mettre en œuvre un système de traitement automatisé d’informations nominatives sans effectuer de déclaration préalable à la CNIL et sans prendre toutes les précautions utiles en vue d'empêcher la communication des informations médicales aux membres du personnel administratif, tiers non autorisés, caractérise les délits réprimés par les articles 226-16 et 226-17 du Code pénal . En revanche, tel n’est pas le cas de la mise en place d’un système permettant à chacun des médecins utilisateurs et à leurs secrétaires d’accéder aux informations médicales qui figurent dans les fichiers créés par les autres médecins, dès lors que ces derniers, tenus au secret professionnel, ne peuvent pas être considérés comme des tiers non autorisés . Il ne peut pas non plus être reproché à un salarié d’avoir refusé de déférer à une exigence de son employeur impliquant la mise en œuvre d’un traitement automatisé d’informations nominatives le concernant, si ce traitement n’a pas été déclaré à la CNIL .

L'article 226-16 du Code pénal ne subordonne pas les formalités préalables à la mise en œuvre de traitement de données à caractère personnel à la réalisation d’opérations d’une technicité spécifique. En effet, même lorsque les opérations ont consisté au seul recours à des fonctionnalités simples, limitées à un classement et un archivage, sans mise en œuvre d'un automatisme particulier ou de règles techniques d'extraction ou de diffusion, il peut en résulter une obligation de déclaration préalable. Il appartient aux juges de rechercher si un tel traitement de données, compte tenu de sa finalité de gestion du personnel, correspond à l'obligation de déclaration .

Un traitement automatisé qui est susceptible d’exclure des personnes du bénéfice d’un contrat ou d’une prestation relève du régime de l’autorisation. Dès lors, la société qui n’a procédé à aucune demande d’autorisation auprès de la Commission concernant un tel traitement commet un manquement aux dispositions du 4° de l’article 25-I de la loi du 6 janvier 1978 qui dispose que, sont mis en œuvre après autorisation de la CNIL, les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire . De même, le fait pour une société de n'avoir procédé à aucune déclaration auprès de la CNIL concernant un dispositif de vidéosurveillance installé dans les locaux d’un centre commercial caractérise un non-respect de l'obligation d’accomplissement de formalités préalables auprès de la CNIL avant la mise en œuvre d'un traitement automatisé de données à caractère personnel .

Cass. crim., 8 septembre 2015, LawLex202200002465JBJ, Comm. com. électr.  n° 5, mai 2016, étude 10, PERRAY et UZAN-NAULIN ; Dr. pén. n° 12, Décembre 2015, chron. 10, LEPAGE.

Lyon, 24 février 2004, LawLex202200005082JBJ, qui précise que dans ce cas il est nécessaire de déclarer à la CNIL le site Web concerné, préalablement à la mise en œuvre sur ce site de tout traitement de données personnelles, à défaut de quoi le responsable d’un tel site encourt les sanctions prévues par l’article 226-16 du Code pénal.

Cass. crim., 30 octobre 2001, LawLex202200002493JBJ, JCP 2018, doctr. 1059, LENOIR ; JCP E 2018, act. 102, MATTATIA ; Comm. com. électr. n° 5, mai 2016, étude 10, PERRAY et UZAN-NAULIN.

Cass. soc., 6 avril 2004, LawLex202200002488JBJ.

Cass. Crim., 23 mai 2018, LawLex202200003591JBJ, Comm. com. électr. n° 9, septembre 2017, comm. 76, METALLINOS ; JCP S 2016, 1260, CANTENOT ; Procédures n° 1, Janvier 2015, comm. 18, BUGADA ; JCP 2014, act. 1119, CORRIGNAN-CARSIN ; Dr. pén. n° 9, Septembre 2014, dossier 5.

CNIL, 24 juin 2015, LawLex202200003560JBJ.

CNIL, 12 juillet 2013, LawLex202200003563JBJ.

Portée de l’obligation déclarative

En vertu de l’article 226-16, alinéa 1, du Code pénal, le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu'aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni de cinq ans d'emprisonnement et de 300 000 euro d'amende. L’alinéa 2 punit des mêmes peines le fait, y compris par négligence, de procéder ou de faire procéder à un traitement qui a fait l'objet de l'une des mesures prévues au 3° du III de l'article 20 de la loi 78-17. En outre, l’article 20 de la loi 78-17 autorise le président de la CNIL, lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du RGPD ou de la loi, le cas échéant après lui avoir adressé un avertissement ou après avoir prononcé à son encontre une ou plusieurs mesures correctrices, à saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de la limitation temporaire ou définitive du traitement, son interdiction ou le retrait d'une autorisation accordée en application du règlement ou de la loi. Le délit de mise en œuvre d'un traitement automatisé d'informations nominatives sans déclaration préalable revêt le caractère d'une infraction matérielle, le fait incriminé impliquant une faute dont le prévenu ne peut se disculper que par la force majeure .

Cass. crim., 3 novembre 1987, LawLex202200002489JBJ, JCP E 1988, II, 15308, n° 20, obs. VIVANT et LUCAS ; D. 1988, 17, note MAISL ; Gaz. Pal. Rec. 1988, 1, 234, note DOUCET ; Comm. com. électr. n° 10, Octobre 2022, étude 17, PERRAY.

Droit pénal des affaires

41. Infraction matérielle

Demandez un accès gratuit
au contenu exclusif Livv – juristes d’entreprise

Les décisions de justice citées dans ce paragraphe :

Les notions juridiques connexes

41. Infraction matérielle

Demandez un accès gratuit au contenu exclusif Livv – juristes d’entreprise

Les décisions de justice citées dans ce paragraphe :

Les notions juridiques connexes

Demandez un accès gratuit
au contenu exclusif Livv – juristes d’entreprise