Traitement des

données personnelles

L’entreprise qui protège les données personnelles de ses clients bénéficie d’un avantage concurrentiel, notamment en termes d’image de marque. Voici un point précis sur le droit des individus à voir leurs données personnelles protégées, sur les obligations des organisations et des entreprises en la matière, et sur les sanctions encourues en cas de manquement.

Cet ouvrage initie à la culture juridique des données personnelles les directeurs des systèmes d’informations, responsables de traitements de données, et plus largement tous les techniciens confrontés à la problématique de la gestion des données personnelles, avec un luxe de détail concernant les différentes jurisprudences.
Il présente notamment des cas concrets de cyber-attaques et les réponses pénales ou administratives associées. Ainsi, si une entreprise est victime d’un phishing utilisant une copie de sa page web, que doit-elle faire ? Que risque pénalement une entreprise victime d’un vol de base de données ? Comment faire respecter le droit français par des entreprises étrangères ?

L’auteur

Ancien conseiller de la secrétaire d’État à l’économie numérique, ingénieur en chef des mines et docteur en droit, Fabrice Mattatia a soutenu en 2010, après 15 ans de carrière de polytechnicien, une thèse de droit sur l’évaluation de l’efficacité de la protection juridique des données personnelles. Son profil lui permet de connaître à la fois le secteur des informaticiens et celui des juristes. Fabrice Mattatia intervient dans plusieurs universités et grandes écoles, dont l’université Paris I Panthéon-Sorbonne et Télécom Paristech.

Au sommaire

Protection des données personnelles : droit français applicable. Vie privée et données personnelles. Les grands principes de protection des données personnelles. Directives européennes. La loi Informatique et libertés. Champ d’application. Obligations. La Commission nationale de l’informatique et des libertés (CNIL). Bilan de 35 ans. Formalités CNIL. Le CIL. Labellisation. Contrôles. Pouvoir de sanction. Le code civil. Obligations particulières des opérateurs de télécoms. Obligations particulières concernant Internet. Textes utiles contre le spam. Textes concernant l’atteinte aux systèmes de traitement automatisé de données. L’hébergement des données de santé. En pratique : devant les tribunaux et la CNIL. Non-respect des obligations : que risquez-vous devant un tribunal ? Non-respect des formalités préalables, de l’obligation de sécurisation, de l’obligation de notification des violations de sécurité. Non-respect des règles pour le traitement des recherches dans le domaine de la santé. Non-respect de la limitation de durée de conservation. Non-respect des droits d’information et d’accès. Non-respect des interdictions. Collecte frauduleuse, déloyale ou illicite. Traitement malgré opposition. Non-respect de l’interdiction de traiter les données sensibles. Détournement de finalité. Divulgation d’informations portant atteinte à la considération ou à l’intimité de la vie privée. Transfert non autorisé hors de l’Union européenne. Limites de l’approche pénale. Ce que vous risquez devant la CNIL. Non-respect des obligations et non-respect des interdictions. Dualité CNIL-tribunaux. Débats et perspectives. Le statut des adresses IP. Le nouveau projet de règlement européen. Le CPCE.

À qui s’adresse ce livre ?

À toute personne qui publie sur le Web et récolte, entre autres, des données client ;

Aux agences web, prestataires et SSII qui livrent des sites et des applications et doivent expliquer aux commanditaires leurs responsabilités en tant que responsables du traitement ;

Au responsable du traitement des données personnelles, DSI, CIL, RSSI ;

Aux étudiants en informatique et en communication.

FABRICE   MATTATIA

Traitement des

données

personnelles

Le guide juridique

La loi Informatique et libertés et la CNIL Jurisprudences

Chez le même éditeur

D. MOUTON. – Sécurité de la dématérialisation. De la signature électronique au coffre-fort numérique, une démarche de mise en œuvre.
A. FERNANDEZ-TORO, préface de H. SCHAUER (HSC Consultants). – Management de la sécurité de l’information.
Y. CONSTANTINIDIS, préface de M. VOLLE. – Expression des besoins pour le système d’information. L’art de recueillir et formaliser les besoins.
L. BLOCH, C. WOLFHUGEL. – Sécurité informatique. Principes et méthodes à l’usage des DSI, RSSI et administrateurs.

ÉDITIONS EYROLLES
61, bd Saint-Germain
75240 Paris Cedex 05
www.editions-eyrolles.com

Remerciements à Marie-Capucine Berthier pour sa relecture.

En application de la loi du 11 mars 1957, il est interdit de reproduire intégralement ou partiellement le présent ouvrage, sur quelque support que ce soit, sans l’autorisation de...

Table des matières

Avant-propos

Introduction

Partie 1 – La protection des données personnelles : principes et droit français applicables

Chapitre 1 – Les grands principes

Vie privée : une notion récente et imprécise

De la vie privée aux données personnelles

Grands principes de protection des données personnelles

Les directives européennes

Chapitre 2 – La loi Informatique et Libertés

Historique

Définitions

Champ d’application de la loi

Obligations prévues par la loi

Chapitre 3 – La Commission nationale de l’informatique et des libertés (CNIL)

35 ans d’activité : le bilan

Formalités CNIL

Le CIL

Labellisation

Contrôles

Pouvoir de sanction de la CNIL

Chapitre 4 – Autres textes de référence

Le Code civil

Obligations particulières des opérateurs de télécoms

Obligations particulières concernant Internet

Autres textes utiles contre le spam

Textes concernant le piratage informatique (l’atteinte aux systèmes de traitement automatisé de données)

L’hébergement des données de santé

Partie 2 – En pratique : devant les tribunaux et la CNIL

Chapitre 5 – Non-respect des obligations : que risquez-vous devant un tribunal ?

Non-respect des formalités préalables

Non-respect de l’obligation de sécurisation

Non-respect de l’obligation de notification des violations de sécurité

Non-respect des règles pour les traitements de recherche dans le domaine de la santé

Non-respect de la limitation de durée de conservation des données

Non-respect des droits d’information et d’accès

Chapitre 6 – Non-respect des interdictions : que risquez-vous devant un tribunal ?

Collecte frauduleuse, déloyale ou illicite de données personnelles

Traitement de données personnelles malgré l’opposition de la personne concernée

Non-respect de l’interdiction de traiter les données « sensibles »

Détournement de finalité

Divulgation d’informations susceptibles de porter atteinte à la considération ou à l’intimité de la vie privée

Transfert non autorisé de données hors de l’Union européenne

Limites de l’approche pénale

Chapitre 7 – Ce que vous risquez devant la CNIL

Non-respect des obligations : importance de l’attitude du responsable de traitement

Non-respect des interdictions

Dualité CNIL-tribunaux

Chapitre 8 – Débats et perspectives

Le statut des adresses IP

Le nouveau projet de règlement européen

Annexe – Le Code des postes et des communications électroniques (CPCE)

Index

Avant-propos

Artifex in meo libello electronico qui regit computatorem equum Troianum posuit ! Pessum datum est !

Henry Beard1

Après une dizaine d’années d’expérience en tant qu’expert dans les nouvelles technologies, j’ai été frappé par l’ignorance mutuelle qui régnait entre le droit et la technique. Lors de mes études d’ingénieur, le droit ne figurait pas, ou si peu, au programme de nos écoles. Inversement, les juristes n’étaient pas au courant des principes de base du fonctionnement des nouvelles technologies – et comment le leur reprocher, étant données la complexité et la vitesse d’évolution de celles-ci ? Il pouvait en certaines circonstances en résulter un décalage dangereux entre la loi et la réalité. Pour donner un exemple, un juriste m’a un jour suggéré, à l’occasion de la rédaction d’un projet de loi pour protéger les données personnelles contenues dans une « puce », d’interdire par la loi tout accès à cette puce. Si elle avait été adoptée par le législateur, une telle disposition aurait, bien évidemment, rendu cette puce parfaitement inutile !

La situation n’en est heureusement pas restée à ce stade caricatural et a évolué dans le bon sens. J’ai pu constater, en intervenant depuis plusieurs années dans des écoles d’ingénieurs, que des notions de droit figurent désormais au programme, et qu’une « culture générale » juridique commence à se diffuser parmi les « techniciens ». Inversement, de plus en plus de juristes s’intéressent non seulement au droit des nouvelles technologies, mais au fonctionnement même de ces technologies, ce qui conduit à construire des relations de plus en plus approfondies entre techniciens et juristes. Les échanges qui en résultent constituent un terrain doublement fécond, en permettant la confrontation d’idées et en évitant les erreurs dues à l’ignorance.

Cet ouvrage a pour but d’aider à répandre la culture juridique des « données personnelles » parmi les « techniciens », directeurs de projets informatiques, directeurs des systèmes d’informations, responsables de traitements de données, et plus largement, tous ceux qui sont confrontés, dans leur vie professionnelle ou privée, à la problématique de la gestion de ces données personnelles. Je me suis efforcé d’y présenter de manière simple aussi bien les principes généraux du droit applicable, que les dispositions spécifiques propres au sujet.

Puissent les lecteurs y trouver une aide dans leurs efforts pour concilier efficacité et protection de la vie privée : la leur comme celle de leurs clients ou de leurs salariés !

Fabrice Mattatia

ancien élève de l’École polytechnique ingénieur en chef des mines, ingénieur Télécom ParisTech docteur en droit

Les opinions exprimées dans cet ouvrage sont propres à l’auteur et n’engagent aucune institution, quelle qu’elle soit.

1. Henry Beard, Latin for even more occasions, Harper Collins Publishers, Londres, 1992, p. 15.

Introduction

Nous parlons d’un enjeu qui concerne chacun d’entre nous, de notre capacité au travail, à la maison, dans nos achats, notre santé, à voir notre vie privée effectivement garantie au sein d’un univers qui a tellement changé depuis dix ans.

En quelques années en effet, le monde numérique s’est installé. Il ne s’agit pas seulement d’Internet. Il s’agit de la dématérialisation progressive de toutes les activités humaines qui s’étendent désormais du monde physique au monde virtuel ; l’individu passe de l’un à l’autre souvent sans même s’en apercevoir et la donnée est au cœur de ce monde « sans couture ».

Isabelle...

La protection des données personnelles : principes et droit français applicables

Chapitre 1

Les grands principes

Les préoccupations relatives à la protection des données personnelles ont émergé dans les années 1970, lorsque les progrès de l’informatique ont donné aux États la capacité de « fliquer » leur population en constituant de gigantesques bases de données.

Le concept de tels fichiers n’était pas nouveau : dès 1749, le policier Guillaute, dans son Mémoire sur la réformation de la police de France, suggérait à Louis XV de créer un fichier des habitants de Paris ; et au 19e siècle, le fichier (manuel) de la préfecture de police de Paris regroupait des millions de fiches concernant des criminels.

Mais c’est dans les années 1970 que l’informatique permit d’industrialiser ces fichiers, de les automatiser, et de donner corps au spectre si redouté de Big Brother. Or, à la même période, le respect de la vie privée devenait une priorité, puisque c’est également en 1970 que ce principe fut inscrit dans le Code civil.

Ainsi, les notions de données personnelles et de vie privée sont étroitement mêlées. Et dans le but de protéger la vie privée, le législateur a instauré un certain nombre de principes s’appliquant aux données personnelles.

Vie privée : une notion récente et imprécise

Une notion récente

La vie privée est un concept relativement récent, d’un point de vue aussi bien sociologique que juridique. Inconnue dans les époques antérieures, la notion d’un droit à l’intimité et à la vie privée prend corps au XIXe siècle dans les pays industrialisés. Elle est formalisée pour la première fois dans un article de 1890 de Brandeis et Warren dans la Harvard Law Review, intitulé « The Right to Privacy ».

En France, si la Déclaration des droits de l’homme de 1789 reconnaît un droit à la sûreté, il faut l’entendre essentiellement comme une protection de l’individu contre les abus du pouvoir. Ce n’est qu’en 1970 que fut inséré dans l’article 9 du Code civil, le principe que « chacun a droit au respect de sa vie privée ». Enfin, c’est en 1999, lors de la discussion de la loi sur la couverture maladie universelle, que le Conseil constitutionnel a rattaché le droit à la vie privée à l’article 2 de la Déclaration de 1789 (« la liberté proclamée par cet article 2 implique le respect de la vie privée »), lui donnant ainsi une portée constitutionnelle. Le droit à la protection de la vie privée est donc particulièrement récent, et sa place dans la hiérarchie des normes est fragile.

Il reste à donner une définition de la « vie privée ». Or, cette notion n’est pas précisée par le droit. C’est donc par une construction progressive de la jurisprudence que l’on constate, au gré des jugements, que ce concept peut englober aussi bien le droit à l’intimité et le droit au secret des correspondances écrites, téléphoniques et électroniques, que la protection contre l’informatique, voire le droit à l’image (qui est pourtant plutôt d’ordre patrimonial). Non seulement les jurisprudences ne permettent pas de dégager une définition globale de la vie privée, mais il apparaît que le respect qui lui est dû n’est pas absolu : la liberté d’expression ou l’intérêt public peuvent éventuellement justifier des atteintes à ce droit.

S’il n’existe pas de définition positive de la vie privée, peut-on recourir à une définition négative, en l’opposant à la vie publique ? Relèverait alors du domaine privé tout ce qui n’advient pas dans le domaine public ou qui n’est pas porté à la connaissance du public par la personne...

Chapitre 2

La loi Informatique et Libertés

En France, le texte fondamental concernant les données personnelles est la loi dite « Informatique et Libertés », adoptée en 1978 et modifiée depuis à plusieurs reprises, notamment en 2004 à l’occasion de la transposition de la directive de 1995.

Historique

Un texte évolutif

Le droit français de la protection des données personnelles s’est construit en trente ans, en réaction aux dangers réels ou supposés des nouvelles technologies. Dans les années 1970, la divulgation du projet du ministère de l’Intérieur de créer un méga-fichier appelé SAFARI (Système automatisé pour les fichiers administratifs et le répertoire des individus) et contenant les données de toute la population, crée le scandale, conduit à l’adoption de la loi de 1978, puis à la création de la CNIL.

SAFARI ou la chasse aux Français

Extrait de l’article fondateur de Philippe Boucher dans Le Monde, 21 mars 1974.

« Rue Jules Breton, à Paris 13e, dans les locaux du ministre de l’Intérieur, un ordinateur Iris-80 avec bi-processeur est en cours de mise en marche. À travers la France, les différents services de police détiennent, selon la confidence faite par un très haut magistrat, 100 millions de fiches, réparties dans 400 fichiers. Ainsi se trouvent posées – et, à terme, théoriquement résolues – les données d’un problème comprenant, d’une part, l’énormité des renseignements collectés ; de l’autre, la méthode à définir pour faire de cet ensemble une source unique, à tous égards, de renseignements.

L’histoire du très puissant appareil qu’est l’Iris-80, est exemplaire du secret qui entoure l’épanouissement de l’informatique dans les administrations, quelles que puissent être les informations qui filtrent ici et là.

Puissant, cet Iris-80, une comparaison le démontre sans contestation. L’appareil employé pour engranger les données de l’opération Safari, qui concerne l’identification individuelle de l’ensemble des 52 millions de Français, a une contenance de 2 milliards d’octets. Celle de l’ordinateur du ministère de l’Intérieur est de 3,2 milliards d’octets.

[...]

Le ministère de l’Intérieur a d’encore plus vastes ambitions. Détenteurs, déjà, du fichier national du remembrement, les services de M. Jacques Chirac font de grands efforts pour, affirme-t-on, s’en adjoindre d’autres : le cadastre, le fichier de la direction nationale des impôts et, plus grave peut-être, celui du ministère du Travail.

De telles visées comportent un danger qui saute aux yeux, et que M. Adolphe Touffait, procureur général de la Cour de cassation, avait parfaitement défini le 9 avril 1973 devant l’Académie des sciences morales et politiques, en disant : « La dynamique du système qui tend à la centralisation des fichiers risque de porter gravement atteinte aux libertés, et même à l’équilibre des pouvoirs politiques. »

Pour mesurer les progrès effectués depuis cette époque, on notera que l’auteur soulignait l’effrayante capacité de stockage de l’ordinateur du ministère de l’Intérieur en 1974 : une mémoire de 2 Go...

À l’époque, le risque ressenti comme majeur résidait dans les fichiers que seuls le gouvernement et quelques entreprises pouvaient s’offrir : la loi initiale était donc très axée sur le contrôle des fichiers. Avec la généralisation, à partir des années 1980, de l’informatique à toutes les entreprises, puis à tous les individus, le risque principal réside désormais dans les données personnelles et les traces concernant chaque individu, disséminées potentiellement dans le monde entier grâce à Internet et au cloud computing. La loi moderne doit désormais s’attacher à protéger efficacement chaque donnée, qu’elle soit ou non dans un fichier, car les données personnelles sont devenues le « carburant » de l’économie numérique, et la contrepartie de la gratuité des services.

Rappel : la hiérarchie des textes en France

En France, le texte le plus fondamental est la Constitution, qui organise notamment le partage des compétences entre les pouvoirs législatif et exécutif.

Comme son nom l’indique, le pouvoir législatif (le Parlement) a pour fonction de discuter et d’adopter les lois. Une loi décrit des situations générales.

Le pouvoir exécutif (le Gouvernement), qui a pour fonction de faire exécuter ces lois, publie le cas échéant des décrets précisant certains détails nécessaires à l’application de la loi. Il publie également, si besoin, des arrêtés pour préciser des mesures particulières : tarifs, nominations, autorisations...

Dans certains cas (urgence, technicité, nécessité d’un rédacteur unique...), le Parlement peut déléguer au pouvoir exécutif le droit de rédiger un texte législatif, en lui remettant un mandat bien précis. À cette occasion, le texte, qui est du niveau d’une loi, porte le nom d’ordonnance.

L’administration peut rédiger une circulaire pour expliciter son interprétation d’une loi ou d’un décret. Une circulaire n’a pas de valeur juridique, même si en pratique elle est appliquée par les services.

La hiérarchie des textes est donc :

Constitution

Loi/ordonnance

Décret

Arrêté.

Par exemple, le statut général d’un fonctionnaire de l’État dépend de la loi de 1983 sur la fonction publique. Son statut particulier (missions, déroulement de carrière...) dépend du décret organisant le corps auquel il appartient (enseignant, administrateur civil, ingénieur, militaire...). Son affectation et son niveau de rémunération sont fixés par un arrêté personnel.

Des principes persistants

La loi de 1978 a ainsi été rédigée dans une optique de contrôle des fichiers centraux, principalement d’État, tandis que la directive de 1995 avait une visée plus large concernant aussi bien l’administration que le secteur privé. Toutefois, la directive de 1995 n’a pas révolutionné les principes préexistants de la protection des données en France, comme le principe de loyauté de la collecte des données, la protection des données dites sensibles, le principe de finalité des traitements ou le droit d’information, de rectification ou d’opposition des personnes, ainsi que l’exigence d’une autorité de contrôle indépendante. Cela n’est pas surprenant, car la directive était elle-même largement inspirée de la loi française de 1978. Le législateur, en transposant cette directive par la loi du 6 août 2004, a surtout pris acte de la montée en puissance des traitements privés, rééquilibrant ainsi une loi initialement tournée vers les fichiers publics. Il a surtout axé le nouveau dispositif de protection sur le critère de la sensibilité des données, que le fichier soit public ou privé, comme l’exigeait la directive.

La transposition de la directive a en définitive nécessité la modification de la loi Informatique et Libertés initiale sur les points suivants :

la prise en compte, dans le champ d’application de la loi, des fichiers manuels, des sons et des images ; à l’exception de la vidéosurveillance pour la sécurité publique ;

le renforcement des pouvoirs de contrôle a posteriori de la CNIL ;

l’égalité de procédure entre traitements relevant du secteur public et ceux relevant du secteur privé ; sauf pour les domaines de souveraineté, qui ne relèvent pas de la compétence de l’Union européenne ;

la distinction entre les transferts de données internes à l’Union européenne (autorisés sans formalité) et ceux à destination...

Chapitre 3

La Commission nationale de l’informatique et des libertés (CNIL)

Pour assurer la mise en œuvre des droits et des devoirs instaurés par la loi Informatique et Libertés de 1978, celle-ci a instauré un organisme spécialisé : la Commission nationale de l’informatique et des libertés (CNIL). À l’origine, la CNIL était « chargée de veiller au respect des dispositions de la présente loi, notamment en informant toutes les personnes concernées de leurs droits et obligations, en se concertant avec elles et en contrôlant les applications de l’informatique aux traitements des informations nominatives. La Commission dispose à cet effet d’un pouvoir réglementaire, dans les cas prévus par la présente loi. »

La loi Informatique et Libertés a été modifiée en 2004 afin de procéder à la transposition des dispositions de la directive 95/46/CE. Cette réforme a été l’occasion d’une évolution des pouvoirs de la CNIL : alors que dans la rédaction initiale, l’accent était mis sur les procédures préalables à l’autorisation des traitements par la CNIL, la nouvelle rédaction instaure une palette de contrôles et de sanctions.

L’activité de la CNIL se déplace ainsi du contrôle a priori au contrôle a posteriori. Ce dernier type de contrôle peut aboutir à la mise en œuvre par la CNIL de son nouveau pouvoir de sanction. La procédure se déroule alors en plusieurs étapes :

La CNIL, après avoir constaté un manquement aux obligations de la loi, peut prononcer un avertissement à l’égard du responsable du traitement et le mettre en demeure de faire cesser le manquement. Si le responsable ne se conforme pas à cette mise en demeure, la CNIL peut prononcer une sanction pécuniaire ou faire cesser le traitement, selon des modalités dépendant de la nature de celui-ci et de la gravité de la menace qu’il constitue pour les droits et libertés.

Par ailleurs, la CNIL conserve pour mission d’informer de leurs droits et obligations les personnes concernées par les traitements, ainsi que les responsables de ces traitements. Elle peut publier des normes simplifiées pour les catégories les plus courantes de traitements de données à caractère personnel, dont la mise en œuvre n’est pas susceptible de porter atteinte à la vie privée ou aux libertés. Elle peut décerner des labels aux traitements assurant une protection des données personnelles.

Le rôle de régulation de la CNIL, en partenariat avec les acteurs professionnels, est renforcé dans la loi modifiée : la CNIL peut donner un avis, à l’égard du traitement de données à caractère personnel, sur la conformité des projets de règles professionnelles et des systèmes et procédures tendant à la protection des personnes.

35 ans d’activité : le bilan

En tant que régulateur, la CNIL a dû définir une doctrine et mettre en œuvre les procédures et les missions prévues par la loi. Elle a ainsi exercé une action d’information pour sensibiliser le public et les responsables de traitements aux droits et obligations prévus par la loi. Elle a mis en œuvre les différentes formalités préalables. La CNIL s’est adaptée à l’évolution des pratiques : par exemple, augmentation des transferts de données hors de l’Union européenne ; banalisation de la biométrie, en modernisant ses pratiques... Par l’institution d’un réseau de correspondants, elle a également commencé à nouer un dialogue avec les organismes mettant en œuvre des traitements.

De 1978 à 2004, conformément à ses missions assignées par la loi Informatique et Libertés dans sa rédaction initiale, la CNIL a veillé à sensibiliser le grand public aux risques des nouvelles technologies et à rendre public le registre des traitements déclarés. Elle a conseillé les organismes désirant mettre en œuvre des traitements automatisés de données personnelles. La CNIL exerçait un contrôle a priori sur les déclarations et demandes d’avis. Elle recevait les plaintes, et pouvait procéder à des vérifications sur place ; en cas de non-respect de la loi elle pouvait délivrer un avertissement et dénoncer l’infraction au Parquet. Son pouvoir réglementaire consistait dans l’élaboration de normes simplifiées pour les catégories les plus courantes de traitements ne comportant manifestement pas d’atteinte à la vie privée ou aux libertés, et de règlements types pour la sécurité des systèmes.

Ainsi, sur son site web, la CNIL propose aux responsables de traitements tous les cas de dispense de déclaration et de normes simplifiées. Dans un souci de pragmatisme, la Commission a souhaité alléger les formalités pesant sur les traitements les plus banals...

Chapitre 4

Autres textes de référence

Certaines obligations, relatives aux données personnelles, devant être honorées par les prestataires des télécoms ou de l’Internet, sont disséminées dans des textes spécifiques. Il en est de même de l’agrément réservé aux hébergeurs de données personnelles de santé.

Par ailleurs, l’analyse des jurisprudences démontre que les procureurs et les juges sont peu familiarisés avec les concepts Informatique et Libertés. Or, pour une victime, un juge mal sensibilisé aux enjeux du litige est un juge difficile à convaincre. Il vaut donc parfois mieux, lors d’infractions concernant les données personnelles, recourir à d’autres textes de loi connexes, auxquels les juges seront plus réceptifs.

Ce chapitre offre une présentation globale de ces textes utiles.

Le Code civil

Lorsque le respect de la vie privée d’une personne est menacé par un usage illicite de ses données personnelles, plutôt que de recourir à la loi Informatique et Libertés, il peut s’avérer plus efficace d’invoquer le Code civil. En effet, l’article 9 du Code civil dispose :

« Chacun a droit au respect de sa vie privée.

Les juges peuvent, sans préjudice de la réparation du dommage subi, prescrire toutes mesures, telles que séquestre, saisie et autres, propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée : ces mesures peuvent, s’il y a urgence, être ordonnées en référé. »

Cet article présente deux avantages :

le « respect de la vie privée » bénéficie d’un spectre très large, ce qui permet d’y avoir recours pour nombre de litiges différents, et sans avoir à entrer dans le détail des éléments constitutifs d’une infraction présumée aux dispositions de la loi Informatique et Libertés ;

la possibilité pour le juge de prendre des mesures en référé permet d’obtenir des résultats rapides, sous réserve de confirmation par un jugement ultérieur sur le fond. Il suffit que le juge estime que la menace au respect de la vie privée est crédible, et qu’il importe de la faire cesser rapidement.

C’est sur la base de cet article qu’en 2006 une personne a obtenu en référé, du tribunal de grande instance de Paris, la suspension de la page d’un blog hébergé par Google et contenant des éléments portant atteinte à sa vie privée.

Obligations particulières des opérateurs de télécoms

Les opérateurs de télécommunications (téléphone et Internet) détiennent un certain nombre de données personnelles sur leurs utilisateurs : localisation, voire déplacements pour la téléphonie mobile, date et heure des communications ou des connexions, interlocuteurs ou sites consultés... L’usage qu’ils peuvent faire de ces données est strictement encadré par le Code des postes et communications électroniques (CPCE). En effet, leur divulgation ou leur utilisation abusive créerait une atteinte à la vie privée de la personne concernée : cette considération tendrait à prôner un effacement rapide de ces données. Mais inversement, ces données sont nécessaires aux opérateurs pour établir leur facturation, et aux autorités en cas d’enquête judiciaire. Une durée de conservation est donc nécessaire, éventuellement différente pour ces deux dernières catégories d’intervenants.

Qui est concerné ?

De nouveau, ce texte concerne les opérateurs de communications électroniques, c’est-à-dire les opérateurs téléphoniques fixes et mobiles et les fournisseurs d’accès Internet. Il concerne également, de manière expresse, « les personnes qui, au titre d’une activité professionnelle principale ou accessoire, offrent au public une connexion permettant une communication en ligne par l’intermédiaire d’un accès au réseau, y compris à titre gratuit », ce qui inclut les cybercafés, les hôtels et cafés, les réseaux municipaux ouverts au public...

L’article L34-1 du CPCE détaille ces obligations. Elles sont de plusieurs ordres. Tout d’abord, le respect du « droit à l’oubli » impose d’effacer les données de connexion. Mais d’autres droits légitimes entrent en conflit avec cet impératif : le droit de l’opérateur à conserver les éléments justifiant sa facturation, ainsi que le besoin des autorités d’accéder éventuellement aux données en cas d’enquête pénale. De même, la localisation de l’abonné, indispensable à l’établissement des communications mobiles, est contradictoire avec le droit de circuler librement et sans laisser de trace. L’article L34-1 dispose donc d’une articulation entre ces droits concurrents : les opérateurs peuvent, pour leurs besoins...

En pratique : devant les tribunaux et la CNIL

Le non-respect des dispositions de la loi Informatique et Libertés peut être sanctionné de deux manières :

par la CNIL, qui dispose d’un pouvoir de contrôle et, depuis 2004, d’un pouvoir de sanction ;

par les tribunaux, la violation de la loi Informatique et Libertés constituant, selon les cas, un délit ou une contr avention, prévus et réprimés par le Code pénal.

Infractions prévues au Code pénal

Avec la généralisation des traitements de données personnelles dans tous les domaines de la société, les infractions aux dispositions de la loi Informatique et Libertés se sont également multipliées. Toutefois, ce n’est pas cette loi qui précise les sanctions prévues en cas de non-respect de ses dispositions, sauf en son article 51 pour ce qui concerne l’entrave à l’action de la CNIL. En effet, c’est dans le Code pénal (articles L. 226-16 à L. 226-31 pour les délits, et R. 625-10 à R. 625-13 pour les contraventions) que figurent les sanctions prévues en cas de non-respect de la loi. Comme son nom l’indique, c’est le responsable du traitement qui encourt ces sanctions.

Le droit : peines complémentaires prévues par le Code pénal

L’article 226-31 prévoit :

« Les personnes physiques coupables de l’une des infractions prévues par le présent chapitre encourent également les peines complémentaires suivantes :

L’interdiction des droits civiques, civils et de famille, suivant les modalités prévues par l’article 131-26 ;

L’interdiction d’exercer l’activité professionnelle ou sociale dans l’exercice ou à l’occasion de l’exercice de laquelle l’infraction a été commise, suivant les modalités prévues par l’article 131-27 ;

L’interdiction, pour une durée de cinq ans au plus, de détenir ou de porter une arme soumise à autorisation ;

L’affichage ou la diffusion de la décision prononcée, dans les conditions prévues par l’article 131-35.

Dans le cas prévu par les articles 226-1 à 226-3, 226-8, 226-15 et 226-28, la confiscation de la chose qui a servi ou était destinée à commettre l’infraction ou de la chose qui en est le produit. La confiscation des appareils visés à l’article 226-3 est obligatoire. »

Le recours à ces peines complémentaires est toutefois très rare, ainsi qu’il résulte des différentes jurisprudences des juridictions pénales.

Par ailleurs, le Code pénal (article 226-22-2) prévoit la possibilité pour le juge d’ordonner l’effacement des données personnelles gérées par le traitement en infraction. On peut noter que l’application de cet article dans le cas d’un transfert des données à l’étranger n’est pas toujours réalisable. Enfin, l’article 226-24 du Code prévoit la possibilité de déclarer responsables pénalement les personnes morales.

Le droit : responsabilité des personnes morales

« Les personnes morales déclarées responsables pénalement, dans les conditions prévues par l’article 121-2, des infractions définies à la présente section encourent, outre l’amende suivant les modalités prévues par l’article 131-38, les peines prévues par les 2° à 5° et 7° à 9° de l’article 131-39.

L’interdiction mentionnée au 2° de l’article 131-39 porte sur l’activité dans l’exercice ou à l’occasion de l’exercice de laquelle l’infraction a été commise. »

Les peines encourues sont notamment l’amende (au taux maximum égal au quintuple de celui de l’amende pour les personnes physiques), la fermeture des établissements, l’interdiction de soumissionner aux marchés publics, la confiscation des biens ayant servi à commettre l’infraction, et la diffusion, aux frais du condamné, de la décision dans la presse ou sur le Web.

Les droits des personnes concernées par les collectes de données personnelles sont garantis par deux types de devoirs imposés aux responsables de traitement.

D’une part, comme on l’a vu dans la première partie, la loi impose un certain nombre d’obligations, concernant principalement le respect de formalités, de règles ou de certains des droits reconnus aux personnes concernées (par exemple, le droit d’information). Le non-respect de ces obligations provient alors de la non-exécution d’une action comme :

le non-respect des formalités préalables à la mise en route d’un traitement ;

le manque de sécurisation des traitements ;

la conservation des données au-delà de la durée prévue ;

l’entrave à l’action de la CNIL ;

le non-respect du droit d’information et d’accès des personnes concernées.

D’autre part, la loi mentionne certaines interdictions, dont l’objectif est de protéger les données confiées aux responsables de traitement contre des utilisations abusives. L’infraction consiste ici en une transgression active de l’interdiction comme :

la collecte frauduleuse, déloyale ou illicite de données personnelles ;

la transgression de l’opposition de la personne concernée ou de l’interdiction de traiter certaines données ;

le détournement de finalité du traitement ;

la divulgation volontaire et non autorisée de données personnelles ;

le transfert non autorisé de données hors de l’Union européenne.

Des contraventions sont également prévues en cas de non-respect des droits d’information, d’accès ou de mise à jour et de rectification des données.

Sanctions de la CNIL

Lors du vote de la loi Informatique et Libertés en 1978, seul le volet pénal avait été prévu. Le pouvoir de sanction de la CNIL a été imposé par la directive de 1995 et vient se superposer au volet pénal dont il reste parfaitement indépendant. Il est donc possible qu’un même dossier fasse l’objet d’un traitement par les deux juridictions en parallèle et débouche sur deux sanctions pour la même faute. Il s’agit bien d’une violation flagrante du vieux principe du droit romain Non bis in idem, selon lequel nul ne peut être condamné deux fois pour les mêmes faits. Cette violation est toutefois encadrée par la loi, comme nous le verrons.

Cela étant, la CNIL et les tribunaux ne sanctionnent pas de la même manière les infractions :

la CNIL applique la loi Informatique et Libertés qui prévoit une procédure graduée de contrôle, de mise en demeure et seulement en dernier lieu de sanction ;

les tribunaux appliquent pour leur part le Code pénal qui réprime les manquements constatés.

Il convient donc d’étudier les jurisprudences respectives des différentes juridictions et de les comparer.

Chapitre 8

Débats et perspectives

Bien que l’on dispose de plus de 30 ans de jurisprudence de la CNIL et des tribunaux, de nombreux points constituent toujours des sujets de débat, et représentent une incertitude pour les responsables de traitement. Par exemple, le statut de l’adresse IP relativement à la loi Informatique et Libertés a fait l’objet de jugements des tribunaux et de prises de position de la CNIL souvent opposés. Le responsable souhaitant traiter des adresses IP doit donc accorder à ce point une attention particulière.

Pour lever ces ambiguïtés et permettre une protection des données personnelles plus homogène au niveau européen, la Commission européenne a lancé en 2012 un chantier de refonte de la directive de 1995. Un projet de règlement remplaçant la directive a été soumis à discussion publique, en attendant un débat au Parlement européen. Les règles de protection des do nnées personnelles sont donc appelées à évoluer dans les années qui viennent.

Le statut des adresses IP

L’adresse IP (Internet Protocol) est le numéro, unique au monde, sous lequel un ordinateur est relié à Internet. Ce numéro permet de le reconnaître sur la toile et de s’y connecter. L’adresse IP contient une indication de la zone géographique de l’ordinateur : la première partie de cette adresse désigne le réseau, la seconde repère le client sur ce réseau. Sauf dans les cas particuliers des adresses IP fixes paramétrées une fois pour toutes dans l’ordinateur ou réservées par le réseau pour des postes donnés, il n’y a pas obligatoirement un lien immuable entre un ordinateur, même fixe, et une adresse IP. Le réseau peut changer l’adresse IP qu’il attribue à un de ses clients. Inversement, un même ordinateur portable peut se connecter sur plusieurs réseaux avec ou sans fil, sous des adresses différentes.

Mais comme le fournisseur d’accès garde la mémoire des adresses qu’il attribue, il est toujours possible, connaissant une adresse utilisée à un instant donné, de remonter à l’ordinateur qui l’utilisait et à son titulaire.

Sur Internet, la trace la plus répandue de l’identité de l’internaute réside...